☠️Turan Security Xavfsizlik Byulleteni - Node2Shell

⚠️ Xavf darajasi: Kritik | CVSS v4.0: 9.2 | CVE-2026-111497

✅ Google Brotli ma’lumotlarni siqish kutubxonasida CVE-2026-111497 zaifligi aniqlandi. Ushbu zaiflik maxsus tayyorlangan siqilgan ma’lumotlar orqali dastur xotirasining buzilishiga, xizmat faoliyatining izdan chiqishiga va ayrim holatlarda masofadan turib zararli kod bajarilishiga olib kelishi mumkin.

Zaiflik Node.js, Bun, Envoy, Istio va Python’ning Brotli hamda brotlicffi kutubxonalaridan foydalanadigan ayrim tizimlarga ta’sir qiladi. Mutaxassislar zaiflikdan foydalanib, Node.js’ning muayyan zaif versiyasida kod bajarilishini amalda namoyish etgan. Boshqa dasturlarda bunday hujum muvaffaqiyatli amalga oshirilgani tasdiqlanmagan.Ilovangiz
Brotli'ni to'g'ridan-to'g'ri chaqirmasligi ham mumkin: "Content-Encoding: br"
javobini o'qish yoki Brotli bilan siqilgan so'rov tanasini ochish kifoya.

Tavsiyalar:
⭐ Node.js, Bun, Envoy, Istio va Python muhitlaridagi Brotli versiyalarini inventarizatsiya qiling - runtime'ni yangilash har doim ham yetarli emas, ilova ichidagi alohida Brotli kutubxonalarini ham tekshiring.
⭐"Content-Encoding: br" sarlavhali kiruvchi so'rovlarni va ishonchsiz serverlardan olinadigan siqilgan javoblarni kuzating.
⭐WAF qoidalarini yangilang; imkoni bo'lsa, zarurati bo'lmagan joylarda Brotli dekompressiyasini vaqtincha o'chiring.
⭐ Jarayonlarning kutilmagan ishdan chiqishi (crash) va anomal xotira xatoliklarini monitoring qiling - bular ekspluatatsiya urinishi belgisi bo'lishi mumkin.

Turan Security tashkilotlarni Brotli'ga bog'liq komponentlarni inventarizatsiya qilish, monitoringni kuchaytirish va xavfsizlik yangilanishlarini kechiktirmaslikka chaqiradi.

@turansecurity | www.turansec.uz | info@turansec.uz