צוות Node.js פרסם ב-21 באוקטובר עדכוני אבטחה לשלוש שורות גרסאות ותיקן עשר פגיעויות. החמורה שבהן היא כתיבה מחוץ לגבולות במפענח Brotli, שלפי הצוות עלולה לאפשר הרצת קוד מרחוק. מי שמריץ שרתי Node.js שמקבלים או מושכים תוכן דחוס צריך לעדכן.
עיקרי הנתונים
| פריט | פרט |
|---|---|
| מזהה עיקרי | CVE-2026-111497 |
| מושפעים | שורות 22.x, 24.x, 26.x |
| חומרה | "גבוהה" לפי Node.js; ציון CVSS לא פורסם |
| מנוצל בפועל | לא דווח נכון ל-22 באוקטובר |
| גרסאות מתוקנות | 22.23.4 · 24.22.1 · 26.12.1 |
מה קרה
הפגם נמצא בספריית Brotli המצורפת ל-Node.js, ונגרם מקלט דחוס שנבנה בזדון. באותו עדכון תוקנו גם פגמי אימות שם מארח ב-TLS כשכתובת IP נכתבת בצורה לא קנונית, פגם ב-dns.resolve עם בייט אפס, ופגמים בינוניים ונמוכים במודל ההרשאות ובמחולל האקראיות.
ב-22 באוקטובר פורסמה הוכחת היתכנות. לפי הסקירה היא הגיעה להרצת קוד רק מול גרסת בדיקה מוחלשת במכוון, ובגרסה רגילה גרמה לקריסה ולקריאה מוגבלת מהזיכרון. המחבר לא הצליח לתקוף גרסה רגילה. Node.js מתוקנת דוחה את הקלט שבו נעשה שימוש.
נקודות לשים לב
- עדכן ל-22.23.4, ל-24.22.1 או ל-26.12.1. אין workaround רשמי לפגם ב-Brotli.
- שורות 20.x ומטה הן סוף חיים ולא יקבלו תיקון. עבור לשורה נתמכת.
- תוכנות אחרות שמצרפות Brotli עשויות להיות חשופות. הגרסאות המתוקנות של הספרייה הן 1.2.1, 1.1.1, 1.0.10.
- כללי חומת אש של Vercel חוסמים את התקיפה בבקשות נכנסות בלבד, ולא בתגובות Brotli שהאפליקציה מושכת משרתים אחרים. הם אינם תחליף לעדכון.
מקורות: Node.js · The Hacker News · Vercel
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
