استغلال ثغرة Brotli يوسع حملة التحديثات إلى ما بعد Node.js
أكدت جهات أمنية استغلال ثغرة فساد في الذاكرة داخل مفكك Brotli واسع الانتشار. تمتد المعالجة الآن إلى بيئات تشغيل وتوزيعات لينكس متعددة، لكن وجود المكتبة وحده لا يعني التعرض ما لم يفك التطبيق بيانات Brotli يتحكم فيها مهاجم.
تحولت ثغرة ظهرت أولاً ضمن نشرات Node.js إلى مشكلة أوسع في سلسلة توريد البرمجيات. فقد أكدت جهات أمنية أن CVE-2026-111497 تُستغل فعلياً، بينما تتعقب مايكروسوفت وRed Hat وAWS الأثر نفسه داخل بيئات تشغيل وأنظمة وتطبيقات مستقلة الحزم تستخدم مفكك Brotli.
الخلاصة في 30 ثانية
- ماذا حدث؟ تستطيع بيانات Brotli مضغوطة ومصممة خصيصاً تشغيل كتابة خارج حدود الذاكرة في الإصدارات الضعيفة، ما قد يكشف بيانات أو يعطل العملية أو يتيح تنفيذ شفرة.
- لماذا يهم؟ لا يقتصر Brotli على Node.js، لذلك يلزم فحص المكتبات والحاويات وبيئات التشغيل المضمنة بدلاً من تحديث منتج واحد.
- ما الذي لم يُثبت؟ وجود المكتبة الضعيفة لا يعني أن التطبيق قابل للاستغلال تلقائياً، إذ يجب أن تصل إليه بيانات Brotli يتحكم فيها مهاجم عبر مسار متأثر.
التاريخ الأهم: أضافت CISA الثغرة إلى قائمة الثغرات المستغلة المعروفة في 27 أكتوبر، وحددت 10 نوفمبر موعداً للمعالجة في الأنظمة الفيدرالية الأميركية المشمولة.
ثغرة ضغط تتحول إلى مشكلة تبعيات
تقلل خوارزمية Brotli حجم محتوى الويب وأنواع أخرى من البيانات. تقع الثغرة في الشفرة الأصلية المسؤولة عن فك الضغط، حيث يمكن لتدفق مصمم بعناية إفساد حالة المفكك المجاورة في الذاكرة. ووفق نشرة GitHub المراجعة، تشمل الإصدارات المتأثرة خطوطاً تبدأ من 1.0.3، بينما تتوافر إصلاحات في 1.0.10 و1.1.1 و1.2.1 بحسب الفرع المستخدم.
الجديد هنا ليس اكتشاف عيب آخر، بل اتضاح نطاق انتقاله. حذر المركز الوطني للأمن السيبراني في نيوزيلندا في 29 أكتوبر من استغلال فعلي ووجود نموذج استغلال علني، ونشر حالة التحديثات عبر Debian وAlpine وUbuntu وFedora وRed Hat، إضافة إلى منظومات Java و.NET وPython.
لماذا لا يكفي تحديث بيئة التشغيل دائماً؟
توضح مايكروسوفت أن التعرض في .NET يظهر عندما يفك التطبيق بيانات Brotli غير موثوقة عبر ضغط الطلبات أو الاستجابات المفعّل، أو عبر الواجهات المباشرة، أو من خلال مفكك مضمّن داخل ملف NativeAOT. لذلك يجب إعادة بناء التطبيقات المستقلة والحاويات ونشرها من جديد، لأن تحديث البيئة المشتركة لا يستبدل الشفرة المدمجة سلفاً.
تقدم AWS توجيهاً مماثلاً للأنظمة التي يديرها العملاء: حصر المكتبات والطبقات المضمنة، والانتقال إلى إصدار مصحح، وتعطيل فك Brotli مؤقتاً عندما لا يتوافر إصلاح. تصبح المعالجة بذلك عملية جرد للتبعيات وليست تحديثاً واحداً للخادم.
قبل أن نبالغ في حجم الخطر
يرفع الاستغلال الفعلي أولوية المعالجة، لكنه لا يعني أن أسوأ نتيجة ستقع في كل جهاز يحتوي على Brotli. العامل الحاسم هو إمكان وصول البيانات غير الموثوقة إلى المفكك الضعيف. وتشير مايكروسوفت مثلاً إلى أن فك Brotli تلقائياً في طلبات ASP.NET Core واستجابات HttpClient غير مفعّل افتراضياً.
ما الخطوة التالية للمدافعين؟
ينبغي فحص تبعيات التطبيقات وصور الحاويات والملفات المربوطة ثابتاً، ثم اتباع نشرة المورد المناسبة وإعادة بناء الحزم المضمنة ومراجعة الأنظمة التي عالجت محتوى مضغوطاً غير موثوق. وتأتي الحادثة بعد هجوم آخر على سلسلة توريد البرمجيات عبر إضافة خبيثة لمحرر الشفرة، ما يبرز ضرورة تدقيق مسارات التوزيع والتبعيات مثلما تُدقق شفرة التطبيق.
كيانات وموضوعات موثّقة
المصادر والمراجع4 مصادر
المراجع الخارجية المستخدمة لدعم المعلومات الواردة في هذا المقال.
نشر بواسطة
مكتب نيو تقنية – سياسات التقنية
فريق تحريري مؤسسي تابع لنيو تقنية
