V Node.js opravili desať zraniteľností
Vývojári Node.js vydali bezpečnostné aktualizácie opravujúce desať zraniteľností, z ktorých najzávažnejšia sa nachádza v dekodéri kompresnej knižnice Brotli. Kritická zraniteľnosť umožňuje neautentifikovanému útočníkovi prostredníctvom špeciálne vytvorených komprimovaných údajov vyvolať poškodenie pamäte, znefunkčniť službu, získať prístup ku citlivým informáciám alebo potenciálne vzdialene vykonávať kód.
Zraniteľné systémy:
- Node.js 22.x, 24.x a 26.x
Opis činnosti:
Vývojári Node.js opravili desať zraniteľností, z ktorých jedna je kritická a tri vysoko závažné.
CVE-2026-111497 (CVSS v4.0 skóre 9,2)
Kritická zraniteľnosť v dekodéri kompresnej knižnice Brotli, ktorú Node.js používa pri rozbaľovaní dát formátu Brotli. Súvisí s možnosťou zápisu do pamäte mimo povolené hodnoty. Vzdialený neautentifikovaný útočník ju môže zneužiť zaslaním prúdu špeciálne vytvorených komprimovaných dát dekóderu Brotli. Získa tak za určitých podmienok možnosť vzdialene vykonávať kód, čítať obsah časti pamäte procesu alebo spôsobiť pád aplikácie.
CVE-2026-106069 (CVSS v4.0 skóre 9,2)
Vysoko závažná zraniteľnosť súvisí s obídením kontroly hostname v protokole TLS, ak sa názov hostiteľa preloží na IP adresu v nekanonickej forme.
CVE-2026-105483 (CVSS v4.0 skóre 9,2)
Vysoko závažná zraniteľnosť súvisí s obídením kontroly hostname v protokole TLS, ak je IP adresa zapísaná v čísliciach s plnou šírkou.
CVE-2026-105482 (CVSS v4.0 skóre 9,2)
Vysoko závažná zraniteľnosť v dns.resolve súvisí s orezaním znakov NUL v názvoch.
Možné škody:
- Únik citlivých informácií
- Vzdialené vykonávanie kódu
- Nedostupnosť služby (DoS)
Odporúčania:
Bezodkladná aktualizácia Node.js aspoň na verziu 22.23.4, 24.22.1 alebo 26.12.1.
Odkazy: