दैनिक ब्रीफिंग
Node.js RCE के पीछे Brotli डिकोडर की खामी है, जो Bun, Python और अन्य व्यापक रूप से उपयोग किए जाने वाले प्रोग्रामों को भी प्रभावित करती है…
आज की ब्रीफिंग में ब्रोटली डिकोडर में व्यापक बग, लाइटएलएलएम में आपूर्ति श्रृंखला में हुई गड़बड़ी और सीआईएसए द्वारा चिह्नित किए गए नए सक्रिय कारनामों को शामिल किया गया है।
5 खबरें4 मिनट पठन
आज के सुरक्षा संबंधी घटनाक्रमों में सॉफ्टवेयर आपूर्ति श्रृंखला के जोखिम और अनसुलझे बुनियादी ढांचे की खामियां हावी हैं। ओपन-सोर्स घटकों और एंटरप्राइज़ उपकरणों पर निर्भर संगठनों को तत्काल रखरखाव कार्यों का सामना करना पड़ रहा है।
सबसे पहले, Google के ब्रोटली डिकोडर में पाई गई मेमोरी करप्शन की खामी से Node.js, Bun, Python और Envoy सहित व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर इकोसिस्टम प्रभावित हुए हैं। साथ ही, CISA ने Collabora Online और Arista VeloCloud Orchestrator में सक्रिय रूप से उपयोग की जा रही खामियों को अपनी ज्ञात सक्रिय खामियों की सूची में शामिल कर लिया है।
सुरक्षा टीमों को डेवलपर रिपॉजिटरी में उजागर हुए रहस्यों का तुरंत ऑडिट करना चाहिए, CISA कैटलॉग में सूचीबद्ध परिधि प्रणालियों के लिए विक्रेता पैच लागू करने चाहिए और सभी वातावरणों में ब्रोटली निर्भरताओं को अपडेट करना चाहिए।
लीक हुई LiteLLM मास्टर कुंजी ने हमलावरों को GitHub टोकन चुराने और रिलीज़ पाइपलाइन को हाईजैक करने की अनुमति दी।
मई 2026 के अंत में एक सार्वजनिक GitHub रिपॉजिटरी (LiteLLM-Labs/lite-harness) में एजेंट प्लेटफ़ॉर्म की मास्टर कुंजी लीक हो गई, जिससे हमलावरों को GitHub टोकन चुराने का मौका मिल गया। इसके बाद हमलावर ने चोरी किए गए एक्सेस का इस्तेमाल LiteLLM की रिलीज़ पाइपलाइन को हाईजैक करने और पाइथन पैकेज का एक दुर्भावनापूर्ण संस्करण प्रकाशित करने के लिए किया।
- क्या करें
- एक्सपोज़्ड एपीआई कीज़ और गिटहब टोकन को रोटेट करें, सीआई/सीडी रिलीज़ पाइपलाइन का ऑडिट करें और LiteLLM पैकेज की अखंडता को सत्यापित करें।
CISA ने Collabora Online और Arista VeloCloud में सक्रिय रूप से उपयोग की जा रही दो गंभीर खामियों को उजागर किया है।
CISA ने Collabora Online Built-in CODE Server में CVE-2026-110447 और Arista VeloCloud Orchestrator में CVE-2026-114625 को सक्रिय रूप से उपयोग किए जाने के बाद अपनी ज्ञात कमजोरियों की सूची में शामिल किया है। ये बग क्रमशः OS कमांड इंजेक्शन और SQL इंजेक्शन की अनुमति देते हैं।
- क्या करें
- Collabora Online Built-in CODE Server को संस्करण 26.4.303 या बाद के संस्करण में अपडेट करें और Arista VeloCloud Orchestrator के लिए पैच लागू करें।
Node.js RCE के पीछे Brotli डिकोडर की खामी का असर Bun, Python और अन्य व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर पर भी पड़ता है।
गूगल के ब्रोटली डिकोडर में मौजूद मेमोरी-करप्शन की खामी कई ऐसे प्रोग्रामों में पाई जाती है जो ब्रोटली-संपीड़ित डेटा को अनपैक करते हैं, जिनमें बन, पायथन ब्रोटली और ब्रोटलिकफी पैकेज, और ब्रोटली को डीकंप्रेस करने के लिए सेट किए गए एनवॉय प्रॉक्सी शामिल हैं।
- यह क्यों मायने रखता है
- क्योंकि प्रत्येक प्रभावित एप्लिकेशन Google के ब्रोटली डिकोडर की अपनी कॉपी को बंडल करता है, इसलिए इन रनटाइम और प्रॉक्सी पर निर्भर संगठनों को कोड निष्पादन को रोकने के लिए व्यक्तिगत विक्रेता अपडेट को ट्रैक और लागू करना होगा।
- क्या करें
- प्रभावित रनटाइम और पैकेज, जिनमें Bun, Envoy और Python Brotli निर्भरताएँ शामिल हैं, को पैच किए गए संस्करणों में अपडेट करें।
गूगल का कहना है कि एआई सर्च के साथ साझा किया गया जीमेल और फोटो डेटा लक्षित विज्ञापनों के लिए इस्तेमाल किया जा सकता है।
गूगल ने 16 अक्टूबर, 2026 से प्रभावी अपनी गोपनीयता नीति को अपडेट किया है, जिसमें यह स्पष्ट किया गया है कि सर्च या जेमिनी ऐप्स में एआई सुविधाओं के साथ गूगल फोटोज, जीमेल और ड्राइव से साझा किए गए डेटा को लक्षित विज्ञापन देने के लिए संसाधित किया जा सकता है।
- यह क्यों मायने रखता है
- जो उपयोगकर्ता और संगठन व्यक्तिगत या वर्कस्पेस डेटा को Google सर्च और जेमिनी एआई सुविधाओं में एकीकृत करते हैं, वे जीमेल, फ़ोटो और ड्राइव से सामग्री को वैयक्तिकृत विज्ञापन लक्ष्यीकरण के लिए उजागर कर सकते हैं।
- क्या करें
- वर्कस्पेस ऐप्स और सर्च/जेमिनी के बीच क्रॉस-सर्विस डेटा शेयरिंग को प्रतिबंधित करने के लिए Google खाते की गोपनीयता सेटिंग्स की समीक्षा करें।
शोधकर्ताओं ने बॉटनेट को बढ़ावा देने वाले पॉपकॉर्न टाइम अपडेटर को दूरस्थ रूप से निष्क्रिय करने के लिए 20 लाख से अधिक अपडेट जारी किए हैं।
डच सुरक्षा फर्म आई सिक्योरिटी ने ऑपरेशन IXIM चलाया, जिसके तहत बंद हो चुके Time4Popcorn एप्लिकेशन में मौजूद एक असुरक्षित बैकग्राउंड अपडेटर (Updater.exe) को निष्क्रिय करने के लिए दो मिलियन से अधिक रिमोट अपडेट जारी किए गए। अपडेटर द्वारा उपयोग किया जाने वाला अपंजीकृत डोमेन एक बड़े पैमाने पर बॉटनेट द्वारा हाईजैक किए जाने का खतरा पैदा कर रहा था।
- क्या करें
- टाइम4पॉपकॉर्न जैसे अनधिकृत पुराने सॉफ़्टवेयर की खोज करें और उन्हें हटा दें, साथ ही अपुष्ट अपडेट डोमेन से कनेक्शन को ब्लॉक करें।
मुख्य बिंदु
- Node.js, Bun, Python और Envoy में Brotli डिकोडर कार्यान्वयन को अपडेट करें ताकि मेमोरी-करप्शन दोष CVE-2026-111497 को ठीक किया जा सके।
- CISA चेतावनियों के बाद Collabora Online Built-in CODE Server (CVE-2026-110447) और Arista VeloCloud Orchestrator (CVE-2026-114625) को पैच करें।