দৈনিক ব্রিফিং
Node.js RCE-এর পেছনের ব্রোটলি ডিকোডারের ত্রুটি Bun, Python এবং অন্যান্য বহুল ব্যবহৃত প্রোগ্রামিং ল্যাঙ্গুয়েজকেও প্রভাবিত করে…
আজকের ব্রিফিংয়ে ব্রোটলি ডিকোডারের ব্যাপক ত্রুটি, লাইটএলএলএম-এর সরবরাহ শৃঙ্খলে তথ্য ফাঁস এবং সিআইএসএ কর্তৃক চিহ্নিত নতুন সক্রিয় এক্সপ্লয়েটগুলো নিয়ে আলোচনা করা হবে।
5টি খবর3 মিনিটের পাঠ
সফটওয়্যার সরবরাহ শৃঙ্খলের ঝুঁকি এবং সমাধানবিহীন অবকাঠামোগত ত্রুটিগুলোই আজকের নিরাপত্তা উন্নয়নের মূল চালিকাশক্তি। ওপেন-সোর্স উপাদান এবং এন্টারপ্রাইজ অ্যাপ্লায়েন্সের ওপর নির্ভরশীল প্রতিষ্ঠানগুলো জরুরি রক্ষণাবেক্ষণের সম্মুখীন হচ্ছে।
প্রথমত, গুগলের ব্রোটলি ডিকোডারের একটি মেমোরি-করাপশন দুর্বলতা নোড.জেএস, বান, পাইথন এবং এনভয়-সহ বহুল ব্যবহৃত সফটওয়্যার ইকোসিস্টেমগুলোকে প্রভাবিত করে। একই সময়ে, সিআইএসএ কোলাবোরা অনলাইন এবং অ্যারিস্টা ভেলোক্লাউড অর্কেস্ট্রেটরের সক্রিয়ভাবে ব্যবহৃত দুর্বলতাগুলোকে তার ‘নোন এক্সপ্লয়েটেড ভালনারেবিলিটিজ’ ক্যাটালগে যুক্ত করেছে।
নিরাপত্তা দলগুলোর উচিত অবিলম্বে ডেভেলপার রিপোজিটরিগুলোতে ফাঁস হওয়া গোপনীয় তথ্য নিরীক্ষা করা, CISA ক্যাটালগে তালিকাভুক্ত পেরিমিটার সিস্টেমগুলোর জন্য ভেন্ডর প্যাচ প্রয়োগ করা এবং সকল এনভায়রনমেন্ট জুড়ে Brotli ডিপেন্ডেন্সিগুলো আপডেট করা।
ফাঁস হওয়া LiteLLM মাস্টার কী-এর মাধ্যমে আক্রমণকারীরা GitHub টোকেন চুরি করেছে এবং রিলিজ পাইপলাইন হাইজ্যাক করেছে।
২০২৬ সালের মে মাসের শেষের দিকে একটি পাবলিক গিটহাব রিপোজিটরিতে (LiteLLM-Labs/lite-harness) এজেন্ট প্ল্যাটফর্মের একটি মাস্টার কী ফাঁস হয়ে যায়, যা আক্রমণকারীদের গিটহাব টোকেন চুরি করার সুযোগ করে দেয়। পরবর্তীতে, এই হুমকিদাতা চুরি করা অ্যাক্সেস ব্যবহার করে LiteLLM-এর রিলিজ পাইপলাইন হাইজ্যাক করে এবং পাইথন প্যাকেজটির একটি ক্ষতিকারক সংস্করণ প্রকাশ করে।
- কী করবেন
- প্রকাশিত API কী এবং GitHub টোকেন পর্যায়ক্রমে পরিবর্তন করুন, CI/CD রিলিজ পাইপলাইন নিরীক্ষা করুন, এবং LiteLLM প্যাকেজের অখণ্ডতা যাচাই করুন।
CISA, Collabora Online এবং Arista VeloCloud-এ সক্রিয়ভাবে ব্যবহৃত দুটি গুরুতর ত্রুটি চিহ্নিত করেছে।
বাস্তব জগতে সক্রিয়ভাবে ব্যবহারের পর, CISA তাদের Known Exploited Vulnerabilities ক্যাটালগে Collabora Online Built-in CODE Server-এর CVE-2026-110447 এবং Arista VeloCloud Orchestrator-এর CVE-2026-114625 যুক্ত করেছে। এই বাগগুলো যথাক্রমে OS কমান্ড ইনজেকশন এবং SQL ইনজেকশনের সুযোগ করে দেয়।
- কী করবেন
- Collabora Online-এর বিল্ট-ইন CODE সার্ভারকে সংস্করণ 26.4.303 বা তার পরবর্তী সংস্করণে আপডেট করুন এবং Arista VeloCloud Orchestrator-এর জন্য প্যাচ প্রয়োগ করুন।
Node.js RCE-এর পেছনের ব্রোটলি ডিকোডারের ত্রুটিটি Bun, Python এবং অন্যান্য বহুল ব্যবহৃত সফটওয়্যারকেও প্রভাবিত করে।
গুগলের ব্রটলি ডিকোডারের একটি মেমরি-করপশন ত্রুটি ব্রটলি-কম্প্রেসড ডেটা আনপ্যাক করে এমন অনেক প্রোগ্রামে বিদ্যমান, যার মধ্যে রয়েছে Bun, পাইথনের Brotli ও brotlicffi প্যাকেজ এবং ব্রটলি ডিকম্প্রেস করার জন্য সেট আপ করা Envoy প্রক্সি।
- কেন এটি গুরুত্বপূর্ণ
- যেহেতু প্রতিটি প্রভাবিত অ্যাপ্লিকেশন গুগলের ব্রোটলি ডিকোডারের নিজস্ব কপি বান্ডল করে, তাই এই রানটাইম এবং প্রক্সিগুলির উপর নির্ভরশীল সংস্থাগুলিকে কোড এক্সিকিউশন প্রতিরোধ করার জন্য স্বতন্ত্র ভেন্ডরের আপডেটগুলি ট্র্যাক এবং প্রয়োগ করতে হবে।
- কী করবেন
- Bun, Envoy, এবং Python Brotli নির্ভরতা সহ প্রভাবিত রানটাইম ও প্যাকেজগুলিকে প্যাচ করা সংস্করণে আপডেট করুন।
গুগল বলছে, এআই সার্চের সঙ্গে শেয়ার করা জিমেইল ও ফটোর ডেটা টার্গেটেড বিজ্ঞাপনের জন্য ব্যবহার করা হতে পারে।
গুগল তার গোপনীয়তা নীতি হালনাগাদ করেছে যা ১৬ অক্টোবর, ২০২৬ থেকে কার্যকর হবে। এতে স্পষ্ট করা হয়েছে যে, টার্গেটেড বিজ্ঞাপন দেখানোর জন্য গুগল ফটো, জিমেইল এবং ড্রাইভ থেকে সার্চ বা জেমিনি অ্যাপের এআই ফিচারের সাথে শেয়ার করা ডেটা প্রসেস করা হতে পারে।
- কেন এটি গুরুত্বপূর্ণ
- যেসব ব্যবহারকারী ও প্রতিষ্ঠান গুগল সার্চ এবং জেমিনি এআই ফিচারগুলিতে ব্যক্তিগত বা ওয়ার্কস্পেস ডেটা যুক্ত করে, তারা জিমেইল, ফটো এবং ড্রাইভের কন্টেন্টকে ব্যক্তিগতকৃত বিজ্ঞাপন টার্গেটিংয়ের আওতায় নিয়ে আসতে পারে।
- কী করবেন
- Workspace অ্যাপ এবং Search/Gemini-এর মধ্যে ক্রস-সার্ভিস ডেটা শেয়ারিং সীমাবদ্ধ করতে Google অ্যাকাউন্টের গোপনীয়তা সেটিংস পর্যালোচনা করুন।
গবেষকরা দূর থেকে পপকর্ন টাইম আপডেটারকে নিষ্ক্রিয় করতে ২০ লক্ষেরও বেশি আপডেট পাঠিয়েছেন, যা একটি বটনেটকে শক্তি জোগাতে পারতো।
ডাচ নিরাপত্তা সংস্থা আই সিকিউরিটি ‘অপারেশন IXIM’ পরিচালনা করে, যার মাধ্যমে পরিত্যক্ত Time4Popcorn অ্যাপ্লিকেশনের একটি ঝুঁকিপূর্ণ ব্যাকগ্রাউন্ড আপডেটার (Updater.exe) নিষ্ক্রিয় করার জন্য বিশ লক্ষেরও বেশি রিমোট আপডেট জারি করা হয়। আপডেটারটি দ্বারা কোয়েরি করা অনিবন্ধিত ডোমেইনটি একটি বড় আকারের বটনেটের জন্য হাইজ্যাক হওয়ার ঝুঁকি তৈরি করেছিল।
- কী করবেন
- Time4Popcorn-এর মতো অননুমোদিত পুরোনো সফটওয়্যার খুঁজে বের করে মুছে ফেলুন এবং যাচাইবিহীন আপডেট ডোমেইনের সংযোগ ব্লক করুন।
মূল বিষয়গুলো
- মেমরি-করাপশন ত্রুটি CVE-2026-111497 প্যাচ করার জন্য Node.js, Bun, Python, এবং Envoy জুড়ে Brotli ডিকোডার ইমপ্লিমেন্টেশন আপডেট করুন।
- CISA-এর সতর্কবার্তা অনুসরণ করে Collabora Online-এর অন্তর্নির্মিত CODE সার্ভার (CVE-2026-110447) এবং Arista VeloCloud Orchestrator (CVE-2026-114625) প্যাচ করা হয়েছে।