Node.js ispravlja 10 ranjivosti u verzijama 26, 24 i 22, od kojih su četiri visoke ozbiljnosti

Projekat Node.js objavio je 21. oktobra 2026. verzije 26.12.1, 24.22.1 i 22.23.4, i sve tri su bezbjednosna izdanja. Zajedno ispravljaju 10 ranjivosti, a četiri od njih projekat ocjenjuje kao visoke ozbiljnosti. Ažuriranje se tiče svake podržane linije Node.js-a, dok verzije kojima je istekla podrška ispravku ne dobijaju.

Ranjivosti visoke ozbiljnosti

Najozbiljnija greška je u dekoderu formata Brotli, kojim serveri i pregledači sažimaju sadržaj na vebu. Prema savjetu projekta, dekoder je mogao da upiše podatke van dodijeljene memorije, što omogućava izvršavanje udaljenog koda. Ranjivost je zavedena kao CVE-2026-111497 i pogađa sve tri linije.

Još dvije ranjivosti visoke ozbiljnosti zaobilaze provjeru imena domaćina u TLS vezi. Tom provjerom program utvrđuje da sertifikat zaista pripada adresi na koju se povezuje. Prva radi kad je IP adresa napisana širokim ciframa i pogađa linije 26 i 24. Druga radi kad se ime domaćina labavo razrješava u IP adresu i pogađa sve tri linije.

Srodna ranjivost srednje ozbiljnosti dozvoljavala je da DNS ime iz sertifikata potvrdi IP adresu napisanu u nekanonskom obliku. Ispravka je ista za sve tri: modul tls sada odbija IP adrese koje nisu napisane u kanonskom obliku.

Četvrta ispravka visoke ozbiljnosti odnosi se na funkciju dns.resolve. Ona je skraćivala ime domaćina kad je ono sadržalo nulti znak (NUL), a sada takav ulaz provjerava.

Srednji i nizak stepen ozbiljnosti

Dvije ranjivosti srednje ozbiljnosti pogađaju sve tri linije. U prvoj je keep-alive veza, koja ostaje otvorena za više zahtjeva, mogla da obradi odgovor napisan prije nego što je zahtjev uopšte poslat.

Druga se tiče funkcija crypto.randomUUID() i randomInt(). Njihova zaliha slučajnih vrijednosti snimala se u snimak pokretanja i u samostalnu izvršnu aplikaciju, pa je svaki proces pokrenut iz takve gradnje ponavljao iste vrijednosti.

Tri ranjivosti niskog stepena ozbiljnosti tiču se rjeđe korišćenih mogućnosti:

• ZipFile je poslije neuspjele provjere zaglavlja mogao da vrati bajtove koje kontroliše napadač, samo u liniji 26.
• Model dozvola, mehanizam koji ograničava pristup datotekama, mogao je preko džokera da odobri širi pristup od zadatog, samo u liniji 26.
• Funkcija fs.realpathSync mogla je da zaobiđe model dozvola, u sve tri linije.

Sertifikati i zavisnosti

Savjet za sve tri linije navodi ažuriranje korijenskih sertifikata zbog kompromitovanih međusertifikata firme eMudhra. Prema bilješkama uz izdanje, ugrađeni korijenski sertifikati prelaze na NSS 3.131.1, a modul tls odbija lance sertifikata s blokiranim javnim ključevima. Javna stranica o incidentu sada navodi Node.js 22.23.4, 24.22.1 i 26.12.1 kao ispravljene verzije.

Sve tri linije dobijaju i c-ares 1.34.9, kao i novije izdanje biblioteke Undici: 8.12.2 u liniji 26, 7.30.1 u liniji 24 i 6.29.1 u liniji 22. Linije 24 i 22 prelaze na OpenSSL 3.5.9, a linija 22 dobija SQLite 3.53.4. Savjet ne navodi da li je ijedna od ranjivosti iskorišćena u napadu.