Node.js-i turvauuendus: Brotli pole ainus põhjus uuendada

Mis avaldati 21. oktoobril?

Node.js avaldas turvaparandused versioonides 22.23.4, 24.22.1 ja 26.12.1. Need on vastavate versiooniharude parandatud väljalasked, mitte soovitus uuemat tarkvara vanemaga asendada.

Turvateade kirjeldab kümmet Node.js-i turvanõrkust ning sõltuvuste uuendusi. Üks neist on Brotli viga CVE-2026-111497: ründaja antud tihendatud andmete lahtipakkimine võib rikkuda protsessi mälu. Võimalikud tagajärjed on tõrge, mälus oleva info avaldumine või koodi käivitamine.

Kas see puudutab iga veebilehte?

Brotli vea puhul peab rakendus ründaja antud andmeid node:zlib abil lahti pakkima. Kõigi veebilehtede ohtlikuks kuulutamine oleks eksitav. Ka ülejäänud vead sõltuvad kasutatud funktsioonidest ja versiooniharust.

Parandused hõlmavad muu hulgas DNS-päringuid, TLS-sertifikaatide kontrolli, HTTP-ühenduste taaskasutust ning käivitushetke mälupildist taastatud juhuarvude kordumist. Seetõttu ei piisa üksnes küsimusest „Kas me kasutame Brotli pakki?”.

Mida arendajalt küsida?

1. Milline Node.js-i versioon teenindab meie rakendust praegu?
2. Kas selle versiooniharu turvauuendus on paigaldatud ning rakendus parandatud versiooniga uuesti käivitatud?
3. Millised teates kirjeldatud funktsioonid on meie rakenduses kasutusel?

Need turvateated ei tõenda, et sinu serverisse oleks sisse murtud. Seda peab kahtluse korral eraldi uurima.