Node.js 22, 24 ve 26 için Brotli açığı düzeltmeleri yayımlandı

Node.js projesi, uzaktan kod çalıştırmaya yol açabilecek Brotli kod çözücü açığı CVE-2026-111497 için düzeltme sürümlerini yayımladı. Etkilenen 22, 24 ve 26 serileri sırasıyla 22.23.4, 24.22.1 ve 26.12.1 veya daha yeni sürümlere güncellenmeli.

Node.js projesi, 21’inde yayımladığı güvenlik duyurusunda OpenAI Codex Security araştırmacıları Kai Tran ile Sylvie Meyer’yi açığı bildiren kişiler olarak belirtti. Açık, Node.js’e dahil Brotli kod çözücüsünden kaynaklanıyor. Özel olarak hazırlanmış sıkıştırılmış veriler işlendiğinde hizmet engelleme, bellek bozulması veya uzaktan kod çalıştırma riski doğabiliyor.

Brotli, verileri aktarım sırasında sıkıştırmak için kullanılan bir teknoloji. Güvenlik açığı bulunan Node.js sürümünü kullansa bile dışarıdan alınan Brotli verilerini açmayan hizmetlerde saldırı girdisi kod çözücüye ulaşmıyor. Harici sunuculardan gelen sıkıştırılmış yanıtları okuyan veya gelen istek gövdelerini açmak üzere yapılandırılmış ara yazılım kullanan hizmetlerin bu işlem yollarını incelemesi gerekiyor.

Güvenlik şirketi Imperva, 22’sinde yayımladığı yeniden üretim deneyinde, değiştirilmiş Brotli verilerini Node.js 24.22.0’ın resmi Linux arm64 imajına göndererek kod çalıştırmayı doğruladığını bildirdi. Aynı girdi, düzeltilmiş 24.22.1 sürümünde reddedildi. Deneyde, Node.js’in yerleşik fetch() işleviyle sıkıştırılmış yanıtları okuma ve Express 5 ile body-parser 2’nin istek gövdelerini açma senaryoları yer aldı.

Imperva’nın deneyi belirli bir çalışma ortamı ve uygulama yapılandırmasında yapıldı; başarılı sonuç için birden fazla deneme gerekti. Ayrıca sıradan bir Node.js sunucusu, yalnızca istek aldığı için Brotli gövdesini otomatik olarak açmıyor. Imperva, açığın Express veya body-parser’ın kendisinde değil, bu araçların çağırabileceği Node.js kod çözücüsünde olduğunu açıkladı.

Node.js projesinin önerdiği düzeltme sürümleri 22.23.4, 24.22.1 ve 26.12.1. GitHub güvenlik duyurusu, Python paketleri Brotli’nin 1.0.3 dahil olmak üzere 1.2.1’den eski sürümleri ile brotlicffi’nin 1.0.3 dahil olmak üzere 1.2.1.0’dan eski sürümlerini de etkilenenler arasında saydı. Bu paketlerin düzeltilmiş sürümleri sırasıyla 1.2.1 ve 1.2.1.0.

Node.js projesinin güvenlik güncellemesi ve Brotli açığı hakkında TokenPost daha önce haber yaptı. Düzeltmenin yayımlanması, çalışan hizmetlere uygulanmış olduğu anlamına gelmiyor. Sistem yöneticilerinin işletim sistemine kurulu kütüphanelerin yanı sıra uygulama ve konteyner imajlarında bulunan Node.js ve Brotli sürümlerini de dağıtım ortamında kontrol etmesi gerekiyor.