Il runtime JavaScript chiude dieci bug, tra cui un out‑of‑bounds write nel decoder Brotli che può portare a esecuzione remota di codice. Aggiornamenti obbligatori per le linee 22.x, 24.x e 26.x.
Il team di Node.js ha pubblicato il 21 ottobre un pacchetto di aggiornamenti di sicurezza che copre le tre linee di rilascio attualmente supportate (22.x, 24.x e 26.x). In totale sono state corrette dieci vulnerabilità, dalle più gravi, che consentono potenziali attacchi di tipo remote code execution (RCE), a problemi di gestione dei certificati TLS, fino a difetti nella generazione di numeri casuali. Gli amministratori sono invitati a passare alle versioni 22.23.4, 24.22.1 e 26.12.1 il prima possibile, poiché le versioni precedenti (20.x e inferiori) sono ormai fuori supporto.
Tra le vulnerabilità corrette, la più rilevante è identificata come CVE‑2026‑111497. Si tratta di un out‑of‑bounds write nel decoder Brotli, la libreria di compressione di Google, che Node.js incorpora direttamente. Quando il runtime riceve dati compressi in Brotli – ad esempio tramite il modulo node:zlib o in risposta a una chiamata fetch() – il decoder analizza il flusso. Un input appositamente manipolato può far scrivere oltre i limiti del buffer, aprendo la porta a un attaccante remoto per eseguire codice arbitrario sul processo Node.
Un proof‑of‑concept è stato pubblicato il 22 ottobre. Su una build di Node.js deliberatamente indebolita, il codice è riuscito a ottenere l’esecuzione completa. Sulle build standard, invece, il PoC ha provocato solo un crash e una lettura limitata della memoria del processo, senza arrivare a eseguire codice arbitrario. Fino a oggi non sono state segnalate campagne di sfruttamento in ambienti di produzione. La vulnerabilità è classificata alta, non critica, ma la possibilità teorica di RCE la rende una priorità di aggiornamento.
Oltre al bug Brotli, tre CVE sono state etichettate come high:
dns.resolve che tronca i nomi di dominio contenenti byte NUL, potenzialmente sfruttabile per attacchi di tipo DNS spoofing.La CVE‑2026‑106074 riguarda le funzioni crypto.randomUUID() e crypto.randomInt(). In contesti particolari – ad esempio quando un’applicazione è avviata da uno snapshot o è compilata come singolo eseguibile – la cache di entropia può restituire gli stessi valori in più processi. Sebbene la crittografia non sia completamente compromessa, la prevedibilità di token e chiavi è un rischio significativo per qualsiasi meccanismo di autenticazione basato su valori casuali.
Le nuove release includono anche una difesa contro otto chiavi intermedie della CA indiana eMudhra, segnalate come compromesse pochi giorni prima del rilascio. Node.js utilizza la lista di root certificati di Mozilla, ma non effettua controlli di revoca per impostazione predefinita; di conseguenza, una catena di certificati costruita su una delle chiavi compromesse poteva ancora essere accettata. L’aggiornamento aggiunge un blocco interno a queste chiavi e rimuove tre root “emSign” dalla lista. Le connessioni già stabilite prima dell’aggiornamento rimangono valide fino alla scadenza della sessione.
Oltre alle correzioni specifiche, il pacchetto aggiorna diversi componenti di terze parti:
fetch) è stato portato a una versione che risolve tre advisory di media gravità, inclusi due problemi di esaurimento della memoria e una vulnerabilità nella verifica di Subresource Integrity.Il progetto Node.js non fornisce workaround per la vulnerabilità Brotli; l’unica difesa efficace è l’aggiornamento del runtime. Alcuni provider, come Vercel, hanno implementato regole firewall il 21 ottobre per bloccare richieste inbound contenenti payload Brotli malevoli, ma queste misure non coprono i dati Brotli ricevuti da server esterni tramite fetch(). Pertanto, le regole non sostituiscono l’upgrade.
L’aggiornamento di sicurezza di Node.js rappresenta un intervento significativo, chiudendo dieci falle che, se lasciate aperte, avrebbero potuto compromettere la confidenzialità e l’integrità di numerose applicazioni web e di backend. Sebbene non siano ancora emerse prove di attacchi in produzione, la combinazione di RCE potenziale, vulnerabilità TLS e problemi di entropia rende imperativo l’adozione immediata delle versioni patchate. Gli amministratori dovrebbero inoltre tenere d’occhio le future release di Brotli e di altri componenti condivisi, poiché la catena di dipendenze è spesso la via più veloce per la diffusione di vulnerabilità.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.