روزانہ بریفنگ
Node.js RCE کے پیچھے Brotli Decoder Flaw Bun، Python اور دیگر وسیع پیمانے پر استعمال ہونے والے کو بھی متاثر کرتا ہے…
آج کی بریفنگ میں وسیع پیمانے پر بروٹلی ڈیکوڈر کیڑے، LiteLLM میں سپلائی چین کے رساو، اور CISA کے ذریعے جھنڈے والے نئے فعال کارناموں کا احاطہ کیا گیا ہے۔
5 خبریں4 منٹ کا مطالعہ
سافٹ ویئر سپلائی چین کے خطرات اور بنیادی ڈھانچے کی بے ترتیب خامیاں آج کی سیکورٹی پیش رفت پر حاوی ہیں۔ اوپن سورس اجزاء اور انٹرپرائز ایپلائینسز پر انحصار کرنے والی تنظیموں کو فوری بحالی کے کاموں کا سامنا کرنا پڑتا ہے۔
سب سے پہلے، گوگل کے بروٹلی ڈیکوڈر میں میموری کی بدعنوانی کا خطرہ بڑے پیمانے پر استعمال ہونے والے سافٹ ویئر ایکو سسٹمز بشمول Node.js، Bun، Python، اور Envoy کو متاثر کرتا ہے۔ اسی وقت، CISA نے Collabora Online اور Arista VeloCloud Orchestrator میں فعال طور پر استحصال شدہ خطرات کو اپنے معروف استحصالی خطرات کی فہرست میں شامل کیا ہے۔
سیکیورٹی ٹیموں کو فوری طور پر ڈویلپر ریپوزٹریز میں بے نقاب رازوں کا آڈٹ کرنا چاہیے، CISA کیٹلاگ میں درج پیری میٹر سسٹمز کے لیے وینڈر پیچ لاگو کرنا چاہیے، اور تمام ماحول میں بروٹلی انحصار کو اپ ڈیٹ کرنا چاہیے۔
لیک ہونے والی LiteLLM ماسٹر کلید حملہ آوروں کو GitHub ٹوکنز اور ہائی جیک ریلیز پائپ لائن چوری کرنے دیں
مئی 2026 کے آخر میں عوامی GitHub ریپوزٹری (LiteLLM-Labs/lite-harness) میں ایک ایجنٹ پلیٹ فارم ماسٹر کلید لیک ہوئی جس نے حملہ آوروں کو GitHub ٹوکنز چرانے کی اجازت دی۔ دھمکی آمیز اداکار نے بعد میں LiteLLM کی ریلیز پائپ لائن کو ہائی جیک کرنے اور Python پیکج کا بدنیتی پر مبنی ورژن شائع کرنے کے لیے چوری شدہ رسائی کا استعمال کیا۔
- کیا کرنا چاہیے
- بے نقاب API کیز اور GitHub ٹوکنز کو گھمائیں، CI/CD ریلیز پائپ لائنوں کا آڈٹ کریں، اور LiteLLM پیکیج کی سالمیت کی تصدیق کریں۔
CISA نے کولابورا آن لائن اور اریسٹا ویلو کلاؤڈ میں دو اہم خامیوں کا فعال طور پر استحصال کیا
CISA نے CVE-2026-110447 کو Collabora آن لائن بلٹ ان CODE سرور میں اور CVE-2026-114625 کو Arista VeloCloud Orchestrator میں جنگل میں فعال استحصال کے بعد اپنے معروف استحصالی خطرات کی فہرست میں شامل کیا۔ کیڑے بالترتیب OS کمانڈ انجیکشن اور SQL انجیکشن کی اجازت دیتے ہیں۔
- کیا کرنا چاہیے
- Collabora آن لائن بلٹ ان CODE سرور کو ورژن 26.4.303 یا بعد میں اپ ڈیٹ کریں اور Arista VeloCloud Orchestrator کے لیے پیچ لاگو کریں۔
Node.js RCE کے پیچھے Brotli Decoder Flaw Bun، Python اور دیگر وسیع پیمانے پر استعمال ہونے والے سافٹ ویئر کو بھی متاثر کرتا ہے
گوگل کے بروٹلی ڈیکوڈر میں میموری کی بدعنوانی کی خرابی بہت سے پروگراموں میں بیٹھتی ہے جو بروٹلی کمپریسڈ ڈیٹا کو کھولتے ہیں، ان میں بن، پائتھن بروٹلی اور بروٹلیکفی پیکجز، اور بروٹل کو ڈیکمپریس کرنے کے لیے ترتیب دیے گئے ایلچی پراکسیز۔
- یہ کیوں اہم ہے
- چونکہ ہر متاثرہ ایپلیکیشن گوگل کے بروٹلی ڈیکوڈر کی اپنی کاپی بنڈل کرتی ہے، اس لیے ان رن ٹائمز اور پراکسیز پر انحصار کرنے والی تنظیموں کو کوڈ پر عمل درآمد کو روکنے کے لیے انفرادی وینڈر اپ ڈیٹس کو ٹریک کرنا اور لاگو کرنا چاہیے۔
- کیا کرنا چاہیے
- متاثرہ رن ٹائمز اور پیکجز بشمول Bun، Envoy، اور Python Brotli انحصار کو پیچ شدہ ورژنز میں اپ ڈیٹ کریں۔
گوگل کا کہنا ہے کہ اے آئی سرچ کے ساتھ شیئر کردہ جی میل اور فوٹو ڈیٹا کو ٹارگٹڈ اشتہارات کے لیے استعمال کیا جا سکتا ہے۔
گوگل نے 16 اکتوبر 2026 سے لاگو ہونے والی اپنی رازداری کی پالیسی کو اپ ڈیٹ کیا، یہ واضح کرتے ہوئے کہ گوگل فوٹوز، جی میل اور ڈرائیو سے AI خصوصیات کے ساتھ سرچ یا جیمنی ایپس میں شیئر کیے گئے ڈیٹا کو ٹارگٹڈ اشتہارات کی فراہمی کے لیے کارروائی کی جا سکتی ہے۔
- یہ کیوں اہم ہے
- ذاتی یا ورک اسپیس ڈیٹا کو Google تلاش اور Gemini AI خصوصیات میں ضم کرنے والے صارفین اور تنظیمیں Gmail، Photos اور Drive کے مواد کو ذاتی نوعیت کے اشتہاری ہدف کے لیے ظاہر کر سکتے ہیں۔
- کیا کرنا چاہیے
- Workspace ایپس اور Search/Gemini کے درمیان کراس سروس ڈیٹا شیئرنگ کو محدود کرنے کے لیے Google اکاؤنٹ کی رازداری کی ترتیبات کا جائزہ لیں۔
محققین نے پاپ کارن ٹائم اپڈیٹر کو دور سے غیر فعال کرنے کے لئے 2 ملین سے زیادہ اپڈیٹس کو آگے بڑھایا جو بوٹ نیٹ کو ایندھن دے سکتا ہے۔
ڈچ سیکیورٹی فرم آئی سیکیورٹی نے آپریشن IXIM کیا، جس نے ترک کر دی گئی Time4Popcorn ایپلیکیشن میں کمزور پس منظر اپڈیٹر (Updater.exe) کو غیر فعال کرنے کے لیے 20 لاکھ سے زیادہ ریموٹ اپ ڈیٹس جاری کیے۔ اپڈیٹر کے ذریعہ پوچھے گئے غیر رجسٹرڈ ڈومین نے بڑے پیمانے پر بوٹ نیٹ کے ہائی جیک ہونے کا خطرہ لاحق کردیا۔
- کیا کرنا چاہیے
- Time4Popcorn جیسے غیر مجاز میراثی سافٹ ویئر کی تلاش کریں اور ہٹائیں اور غیر تصدیق شدہ اپ ڈیٹ ڈومینز کے کنکشن بلاک کریں۔
اہم نکات
- Node.js، Bun، Python، اور Envoy پر بروٹلی ڈیکوڈر کے نفاذ کو اپ ڈیٹ کریں تاکہ میموری کی بدعنوانی کی خرابی CVE-2026-111497 کو درست کریں۔
- CISA انتباہات کے بعد پیچ Collabora آن لائن بلٹ ان CODE سرور (CVE-2026-110447) اور Arista VeloCloud Orchestrator (CVE-2026-114625)۔