צוות Node.js פרסם עדכוני אבטחה שמתקנים 16 פגיעויות, שבע מהן בחומרה גבוהה. רובן נוגעות לשרתי HTTP/2 ו-TLS, ובחלקן קליינט מרוחק יכול להפיל את השרת או לגרום לזליגת זיכרון.
הפרטים
לפי הסיקור ב-The Hacker News והמלצת Node.js, הגרסאות המתוקנות הן 22.23.5, 24.22.3 ו-26.13.1. בין הליקויים: CVE-2026-123863, קריסה של שרת HTTP/2 ברירת מחדל שעונה לפני שגוף הבקשה הגיע במלואו (ב-24.x ו-26.x); CVE-2026-123866, דליפת זיכרון ב-HTTP/2; ו-CVE-2026-123864, שבו שרת HTTPS עלול לזלוג זיכרון מחיבורים אחרים, כולל מפתחות TLS פרטיים.
הזליגה האחרונה דורשת תנאים ספציפיים: קריאה ל-res.flushHeaders() לפני שהגוף הגיע, אחר כך res.end() עם נתונים, ונתיב שמחזיר או שומר גופי בקשות. node:http רגיל אינו מושפע. נוסף על כך תוקנו פגמים בהגשת קבצים ב-HTTP/2, קריסה בשרתי TLS עם SNICallback ופגם בבדיקת תעודות לקוח בזמן renegotiation של TLS 1.2. חמש מהפגיעויות דווחו על ידי Chris Rohlf עם Claude ו-Anthropic Research. לא דווח על ניצול בפועל.
נקודות לשים לב
- עדכן ל-22.23.5, 24.22.3 או 26.13.1 לפי הענף שלך. ענפים שהגיעו לסוף חיים (20.x ו-25.x) לא יקבלו תיקון ונחשבים פגיעים.
- בדוק אם השירותים שלך מפעילים
node:http2או שרת HTTPS שחשוף לאינטרנט; אלה המקומות שבהם הקליינט הלא מאומת יכול לפגוע. - המקורות שבדקתי אינם מציינים workaround, ולכן העדכון הוא הדרך המומלצת.
- אם שרת HTTPS שלך עומד בתנאי הזליגה, המקור אינו קובע אם יש לרענן מפתחות TLS. שקול זאת לפי מידת החשיפה שלך.
מקורות: Node.js · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
