ব্রোটলি ডিকোডারের একটি গুরুতর দুর্বলতা Node.JS, Bun, ব্রাউজার, HTTP ক্লায়েন্ট এবং অন্যান্য প্রজেক্টকে প্রভাবিত করে।

ব্রোটলি ডেটা কম্প্রেশন ডিকোডারের রেফারেন্স ইমপ্লিমেন্টেশন ধারণকারী লাইব্রেরিতে একটি দুর্বলতা (CVE-2026-111497, কোডনেম Broccoli2Shell এবং HTTP2Shell) শনাক্ত করা হয়েছে। বিশেষভাবে তৈরি করা সংকুচিত ডেটা প্রসেস করার সময় এই দুর্বলতার কারণে বাফার ওভারফ্লো ঘটে। গুগলের মতে, অফিসিয়াল ব্রোটলি ডিকোডার ইমপ্লিমেন্টেশন ব্যবহারকারী প্রজেক্টগুলোতে আক্রমণ করার জন্য এই দুর্বলতাটি রিমোট কোড এক্সিকিউশনের কাজে ব্যবহার করা যেতে পারে। প্রভাবিত প্রজেক্টগুলোর মধ্যে রয়েছে Node.js, Bun, Envoy, Istio, ওয়েব ব্রাউজার, প্রক্সি সার্ভার, HTTP ক্লায়েন্ট, HTTP সার্ভার, আর্কিভার, প্রক্সি সার্ভার, UEFI ফার্মওয়্যার, JPEG XL ভিউয়ার, Python, Ruby, Java, PHP, এবং .NET-এর জন্য কন্টেন্ট ডিকোডিং লাইব্রেরি এবং তাদের সংশ্লিষ্ট ডিপেন্ডেন্সিগুলো।

এই বছরের ফেব্রুয়ারিতে OpenAI সমস্যাটি আবিষ্কার করে এবং ডিকোডিংয়ের সময় অবৈধ স্ট্রিমগুলো বাতিল করে Brotli কোডবেসে এর সমাধান করে। ২২শে অক্টোবর, Brotli 1.0.10, 1.1.1, এবং 1.2.1-এর প্যাচ রিলিজ প্রকাশিত হয়, যেখানে স্পষ্টভাবে এই সমাধানের কথা ঘোষণা করা হয় এবং মূল সমস্যাটির সমাধান করা হয়। একই দিনে, একটি প্রোটোটাইপ এক্সপ্লয়েট তৈরি করা হয়েছিল যা পরীক্ষাগারের পরিবেশে নন-স্ট্যান্ডার্ড বিল্ড ব্যবহার করে রিমোট কোড এক্সিকিউশনের সুযোগ দিত (স্ট্যান্ডার্ড বিল্ডগুলো ক্র্যাশ করত)। পরবর্তীতে Imperva স্ট্যান্ডার্ড Node.js 24.22.0 বিল্ডে একটি আক্রমণ শনাক্ত করে। Linux- ARM64 সিস্টেমের পরিবেশ।

এই দুর্বলতার ফলে একটি কম্প্রেসড স্ট্রিমে ব্লক পার্সিংয়ের সময় অনুপযুক্ত এরর হ্যান্ডলিংয়ের কারণে বাফারের সীমার বাইরে ডেটা লেখা হয়। DecodeBlockTypeAndLength() ফাংশনটি কোনো এরর কোডের পরিবর্তে শুধুমাত্র ট্রু এবং ফলস ভ্যালু রিটার্ন করত, যা কলারকে স্ট্রিম করাপশন এবং ফাংশনে অতিরিক্ত ডেটা পাঠানোর প্রয়োজনীয়তার মধ্যে পার্থক্য করতে বাধা দিত। যদি স্ট্রিমে একটি ভুল কম্প্রেসড ডেটা ব্লক টাইপ নির্দিষ্ট করা হতো, তবে ডিকোডার এটিকে এরর হিসেবে না দেখে, স্ট্রিম থেকে অতিরিক্ত ডেটা পড়ার প্রয়োজনীয়তাযুক্ত একটি আউট-অফ-ডেটা কন্ডিশন হিসেবে ব্যাখ্যা করত। কিন্তু, যেহেতু বরাদ্দকৃত বাফারটি অতিরিক্ত ডেটা পড়ার জন্য ডিজাইন করা ছিল না, তাই ডেটাটি বাফারের বাইরের এমন একটি জায়গায় লেখা হতো যেখানে ডিকোডারের অভ্যন্তরীণ স্টেট সংরক্ষিত থাকত।

প্রভাবিত প্রকল্পসমূহ:

• Brotli রেফারেন্স লাইব্রেরি সংক্রান্ত সমস্যাটি, যা 1.0.3 রিলিজ থেকে বিদ্যমান ছিল এবং 1.0.10, 1.1.1, ও 1.2.1 আপডেটগুলিতে সমাধান করা হয়েছিল, libbrotlidec লাইব্রেরি ব্যবহারকারী অ্যাপ্লিকেশন এবং লাইব্রেরিগুলিকে প্রভাবিত করে।
• Node.js জাভাস্ক্রিপ্ট প্ল্যাটফর্মটি 26.12.1, 24.22.1, এবং 22.23.4 আপডেটগুলিতে প্যাচ করা হয়েছে। যে অ্যাপ্লিকেশনগুলি তৃতীয় পক্ষের কন্টেন্ট অনুরোধ করার জন্য fetch() মেথড ব্যবহার করে, যা স্বয়ংক্রিয়ভাবে "Content-Encoding: br" হেডার সহ HTTP রেসপন্স ডিকোড করে, সেগুলি ঝুঁকিপূর্ণ হতে পারে। তৃতীয় পক্ষের কন্টেন্ট ডিকম্প্রেস করার জন্য সরাসরি zlib.brotliDecompress*(), createBrotliDecompress(), এবং brotli.decompress() মেথড কল করার সময়, অথবা Express 5 এবং body-parser 2.x লাইব্রেরির মাধ্যমে পার্স করা HTTP অনুরোধ গ্রহণ করার সময়ও এই দুর্বলতা প্রকাশ পায়।
• পাইথন প্যাকেজ brotli এবং brotlicffi (সংস্করণ 1.2.1-এ সমাধান প্রস্তাবিত) এবং যে প্রজেক্টগুলো এগুলো ব্যবহার করে, যার মধ্যে জনপ্রিয় লাইব্রেরি urllib3, aiohttp, httpx, এবং Scrapy অন্তর্ভুক্ত, যেগুলো বাহ্যিক ওয়েব রিসোর্স অ্যাক্সেস করার সময় "Content-Encoding: br" হেডার সহ রেসপন্স ডিকোড করে।
• HTTP সার্ভার, HTTP প্রক্সি, HTTP ক্লায়েন্ট, এবং ওয়েব ব্রাউজার যা ব্রোটলি কম্প্রেশন ("Accept-Encoding: br") সমর্থন করে। Apache httpd-এর সাথে mod_brotli আসে (যা ডিফল্টরূপে নিষ্ক্রিয় থাকে)। nginx-এর জন্য ngx_brotli নামে একটি থার্ড-পার্টি মডিউল উপলব্ধ আছে (ডিপেন্ডেন্সিতে থাকা ব্রোটলি সংস্করণটি সর্বশেষ সংস্করণে আপডেট করা হয়েছে)। Chrome/Chromium এবং Firefox-এ, সমস্যাটি পূর্ববর্তী একটি আপডেটে ইতিমধ্যেই সমাধান করা হয়েছে। প্রক্সি-তেসার্ভার Envoy-এর দুর্বলতাটি 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12 রিলিজগুলোতে সমাধান করা হয়েছে।
• অ্যাপ্লিকেশনে BrotliDecoder, BrotliStream, এবং HttpClient মেথডগুলো ব্যবহার করার সময় .NET রানটাইমে এই দুর্বলতাটি দেখা দেয়। এই দুর্বলতাটি এখনও সমাধান করা হয়নি।
• brotli_uncompress() ফাংশন ব্যবহার করার সময় PHP brotli এক্সটেনশনের সমস্যা। সমাধানের কাজ চলছে।
• Brotli রুবি প্যাকেজটি Brotli.inflate মেথড ব্যবহার করে এক্সপ্লয়েটের ঝুঁকিতে ছিল। এই দুর্বলতাটি এখনও প্যাচ করা হয়নি।
• কম্প্রেসড Parquet ফাইল ইম্পোর্ট করার সময় DuckDB-তে এই সমস্যা হচ্ছে। সমাধানের কাজ চলছে।
• ক্লিকহাউস ডিবিএমএস। সমাধানের কাজ চলছে।
• YDB DBMS। দুর্বলতাটি এখনও সমাধান করা হয়নি।
• কম্প্রেসড Parquet ফাইল ইম্পোর্ট করার সময় Apache Arrow সমস্যা দেখা দিচ্ছে। সমাধানের কাজ চলছে।
• libjxl (JPEG XL মেটাডেটা কম্প্রেশনের জন্য Brotli ব্যবহার করে)।
  সংশোধনের প্রস্তুতি চলছে।
• .br ফাইল আনপ্যাক করার সময় NanaZip, 7-Zip-zstd, এবং p7zip আর্কিভারগুলো ঝুঁকিপূর্ণ। এই দুর্বলতাটি এখনও বিদ্যমান।
• MuPDF। দুর্বলতাটি এখনো সমাধান করা হয়নি।
• EDK II এবং UEFITool-এর উপর ভিত্তি করে তৈরি UEFI ফার্মওয়্যার, যা Brotli দিয়ে কম্প্রেস করা হয়েছে। EDK II এবং UEFITool-এর জন্য একটি সমাধান প্রস্তুত করা হচ্ছে।
• বান জাভাস্ক্রিপ্ট ফ্রেমওয়ার্ক। সংস্করণ ১.৪.৪-এ দুর্বলতাটি সমাধান করা হয়েছে।
• ইস্টিও, একটি মাইক্রোসার্ভিসেস ম্যানেজমেন্ট প্ল্যাটফর্ম। এর ১.২৯.৯, ১.৩০.৬ এবং ১.৩১.২ সংস্করণগুলোতে দুর্বলতাটি সমাধান করা হয়েছে।
• curl এবং libcurl-এর ক্ষেত্রে, এই দুর্বলতাটি তখনই প্রকাশ পায় যখন ডিপেন্ডেন্সিগুলোর মধ্যে libbrotlidec-এর কোনো ঝুঁকিপূর্ণ সংস্করণ উপস্থিত থাকে।
• ওয়েব ওপেন ফন্ট (WOFF) ফন্ট ফরম্যাটের জন্য পার্সার, যা ব্যবহার করে
  ব্রোটলি।
• Brotli4j, SumatraPDF, Ghostscript, CatBoost, এবং YTsaurus। একটি আপডেটে দুর্বলতাটি সমাধান করা হয়েছে।

উত্স: opennet.ru