آسیب‌پذیری خطرناک در کتابخانه Brotli؛ تهدید جدی برای اکوسیستم‌های برنامه‌نویسی

یک آسیب‌پذیری امنیتی جدی در کتابخانه رمزگشایی Brotli گوگل کشف شده است که می‌تواند طیف گسترده‌ای از نرم‌افزارها و محیط‌های اجرایی محبوب را با خطر اجرای کد از راه دور (RCE) مواجه کند. این نقص که با شناسه CVE-2026-111497 ردیابی می‌شود، به مهاجمان اجازه می‌دهد با ارسال داده‌های فشرده‌سازی‌شده مخرب، از محدوده بافر حافظه عبور کرده و باعث خرابی حافظه یا اجرای کدهای دلخواه در سیستم قربانی شوند. نکته نگران‌کننده این است که چون هر نرم‌افزار نسخه خاص خود از این کتابخانه را در دل خود جای داده، وصله کردن آن نیازمند به‌روزرسانی تک‌تک این محصولات به‌صورت جداگانه است.

تأثیرات این حفره امنیتی فراتر از محیط‌های توسعه‌دهنده است و ابزارهای پرکاربردی نظیر Node.js، Bun، Envoy، Istio و حتی بسته‌های پایتونی مانند Brotli و brotlicffi را تحت‌الشعاع قرار داده است. در سناریوهای عملیاتی، این آسیب‌پذیری هم سرورها و هم کلاینت‌ها را تهدید می‌کند؛ به این معنا که یک سرور ناامن می‌تواند توسط یک کلاینت مخرب کنترل شود و برعکس، یک کلاینت که داده‌های فشرده را از سروری آلوده دریافت می‌کند نیز در معرض خطر قرار می‌گیرد. اگرچه تاکنون گزارشی از بهره‌برداری واقعی از این نقص در دنیای واقعی منتشر نشده، اما محققان امنیتی موفق شده‌اند در محیط‌های آزمایشگاهی، کنترل کامل یک نسخه وصله‌نشده از Node.js را به دست بگیرند.

برای مقابله با این تهدید، کارشناسان امنیتی توصیه می‌کنند که کاربران در اولین فرصت نسبت به به‌روزرسانی نرم‌افزارهای خود به نسخه‌های اصلاح‌شده اقدام کنند. در مواردی که امکان به‌روزرسانی فوری وجود ندارد، غیرفعال کردن قابلیت رمزگشایی Brotli برای ورودی‌های غیرقابل‌اعتماد یا حذف بسته‌های آسیب‌پذیر پایتون، از جمله راهکارهای موقت برای کاهش ریسک است. نکته حائز اهمیت این است که صرفاً تغییر هدرهای درخواست کافی نیست و تا زمانی که کتابخانه رمزگشا در سطح نرم‌افزار یا سیستم‌عامل به‌روزرسانی نشود، خطر همچنان باقی است. با توجه به اینکه ابزارهای اسکن خودکار ممکن است هنوز تمام بسته‌های آسیب‌پذیر را شناسایی نکرده باشند، بررسی دستی نسخه‌های نصب‌شده در محیط‌های حساس ضروری به نظر می‌رسد.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید