Node.js에 내장된 브로틀리(Brotli) 디코더에서 악성 압축 데이터를 처리할 때 원격 코드 실행으로 이어질 수 있는 취약점이 발견됐다. Node.js 프로젝트는 10월 21일 보안 공지에서 이 취약점을 고위험으로 분류하고 수정 버전을 배포했다고 밝혔다.
Node.js는 해당 취약점이 22.x·24.x·26.x 버전에 영향을 준다고 공지했다. 수정 버전은 각각 22.23.4, 24.22.1, 26.12.1이다. 취약점 번호는 CVE-2026-111497이다.
임퍼바(Imperva)는 10월 22일 분석 글에서 공식 Node.js 24.22.0 리눅스 ARM64 이미지에 악성 Brotli 데이터를 전달해 코드 실행을 시연했다고 밝혔다. 임퍼바는 시도마다 성공한 것은 아니며, 수정 버전인 24.22.1은 같은 데이터를 거부했다고 설명했다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular