ԱՄՆ կիբերանվտանգության գործակալությունը Node.js-ի խոցելիությունը շտկելու ժամկետ է սահմանել՝ նոյեմբերի 10-ը

ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) 2026 թվականի հոկտեմբերի 27-ին CVE-2026-111497-ը ներառել է հայտնի շահագործվող խոցելիությունների ցանկում՝ վկայակոչելով ակտիվ շահագործման ապացույցներ։ Դաշնային քաղաքացիական գործադիր մարմինները պետք է շտկումները կիրառեն մինչև նոյեմբերի 10-ը, գրել է The Hacker News-ը։

MyCERT-ի տեղեկացմամբ՝ ցանկում խոցելիության ներառմանը նախորդել են Node.js նախագծի՝ հոկտեմբերի 21-ին թողարկած անվտանգության թարմացումները։ Նույն օրը հրապարակվել է նաև խոցելիությունը շահագործող կոդը։ Խնդիրն առկա է Node.js-ի հետ ներառվող Google-ի Brotli սեղմման գրադարանում։ Վտանգն առաջանում է, երբ հավելվածը կամ դրա գրադարաններից մեկն ապասեղմում է հարձակվողի վերահսկած Brotli տվյալները, այլ ոչ թե պարզապես Node.js-ը գործարկելու պատճառով։

Ինչ են ցույց տալիս շահագործման փորձերի տվյալները

Սպառնալիքների հետախուզությամբ զբաղվող Previdian ընկերությունը մինչև հոկտեմբերի 27-ը գրանցել է իր խաբուսիկ համակարգերի դեմ խոցելիությունը շահագործելու մեկ փորձ։ Այդ համակարգերն օգտագործվում են հարձակումները դիտարկելու համար։ Փորձը կատարվել է ԱՄՆ-ում գտնվող IP հասցեից։

ELLIO-ն հոկտեմբերի 26-ին հայտնել է, որ իր տվիչները հայտնաբերել են խոցելիությունը շահագործելու փորձեր՝ Նիդեռլանդներին վերագրված IP հասցեից։ Ընկերության խոսքով՝ ուղարկված վնասակար տվյալները ճիշտ կառուցվածքով փորձ էին՝ ուղղված Node.js 24.22.0-ի դեմ, և համապատասխանում էին հրապարակված շահագործման կոդին։ ELLIO-ն նաև հայտնել է, որ ստուգմամբ հաստատել է՝ այդ կոդը Node.js-ի խոցելի տարբերակներում կարող է հրամանների միջերես բացել։

Տվիչների դիտարկումները հաստատում են շահագործման փորձերը, բայց չեն հաստատում հաջող ներխուժումը տուժողների համակարգեր։ Արշավի մասշտաբը դեռ հայտնի չէ։ Sysdig-ի բնորոշմամբ՝ մինչ այժմ ցուցադրված հետևանքները լայնածավալ խափանումներն ու որոշակի սահմանափակ կազմաձևում կոդի կատարումն են։