Новые версии для Node.js 22.x, 24.x и 26.x устраняют критические уязвимости в системе безопасности и защищают от поддельных сертификатов компании eMudhra.
Проект Node.js выпустил обновления безопасности для всех поддерживаемых версий JavaScript-среды выполнения. Помимо исправления десяти уязвимостей, обнаруженных непосредственно в проекте Node.js, обновления включают новые версии таких проектов, как OpenSSL и SQLite, от которых зависит Node.js. Эти обновления зависимостей также устраняют уязвимости. В частности, обновление касается встроенного хранилища сертификатов, которое блокирует скомпрометированный центр сертификации eMudhra. Кроме того, в Node.js теперь есть список заблокированных промежуточных сертификатов, что позволяет отклонять цепочки TLS-сертификатов, содержащие заблокированные открытые ключи, даже если корневому сертификату все еще доверяется.
Уже из-за инцидента с компанией eMudhra обновления крайне важны, но также четыре устраненные уязвимости в Node.js классифицируются как "высокого уровня". Две из них связаны с проверкой сертификатов при установлении соединений TLS, одна – с разрешением имен через DNS. Четвертая позволяет злоумышленникам удаленно выполнять код на целевой системе, манипулируя декодером Node.js для алгоритма сжатия Brotli.
Пользователям Node.js рекомендуется как можно скорее обновиться до версии 22.23.4, 24.22.1 или 26.12.1, в зависимости от используемой ими ветки разработки. Все остальные ветки выпуска больше не поддерживаются, и команда разработчиков Node.js подчеркивает, что это также касается устаревших (EOL) версий. Пользователям, использующим устаревшие версии, настоятельно рекомендуется перейти на одну из поддерживаемых веток выпуска.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале