PHP-dəki PHP2Shell boşluqları ilə eyni gündə, 21 oktyabrda Node.js komandası da təhlükəsizlik yeniləməsi buraxdı. Bu dəfə 10 boşluq düzəldilib, onlardan 4-ü yüksək təhlükə dərəcəlidir.
Ən ciddisi Node.js-in içində gələn Brotli dekoderindədir (CVE-2026-111497). Xüsusi hazırlanmış sıxılmış məlumat prosesin yaddaşını poza bilər. Nəticədə server çökə, yaddaşdakı məlumatlar sıza, ən pis halda isə serverdə kənar kod işə düşə bilər.
Brotli brauzerlərin və serverlərin geniş istifadə etdiyi sıxılma formatıdır. Tətbiqiniz kənardan gələn Brotli məlumatını açırsa, məsələn, sorğu gövdəsini və ya başqa servisdən gələn cavabı node:zlib ilə emal edirsə, bu boşluq sizə aiddir.
Digər boşluqlar
Qalan üç yüksək dərəcəli problem TLS sertifikatlarının və DNS adlarının yoxlanmasındadır. Məsələn, 0127.0.0.1 kimi qeyri-adi yazılmış IP ünvanı və ya içində NUL simvolu olan domen adı ilə yoxlamanı aldatmaq mümkün idi. Bu, istifadəçinin verdiyi ünvana sorğu göndərən sistemlər, məsələn webhook-lar və inteqrasiyalar üçün xüsusilə təhlükəlidir. Yeniləmə eyni zamanda OpenSSL, c-ares və Undici kitabxanalarındakı boşluqları da bağlayır.
Nə etməli
- Node.js-i yeniləyin: 26.12.1, 24.22.1 və ya 22.23.4. Bu boşluqlar üçün müvəqqəti həll yoxdur, yeganə yol yeniləmədir. Serverdəki versiyanı
node -vəmri ilə yoxlaya bilərsiniz. - Docker istifadə edirsinizsə, rəsmi
nodeimage-ləri 21 oktyabrda yenilənib, amma işləyən konteynerləri yenidən yığmaq (rebuild) lazımdır. - Layihədə
undicipaketini ayrıca istifadə edirsinizsə, onu da son versiyaya yeniləyin. - Node.js 20 və daha köhnə versiyalar, həmçinin 21, 23 və 25 artıq dəstəklənmir və düzəliş almayacaq. Bu versiyalardasınızsa, keçidi daha təxirə salmayın.
Coresoft-dan dəstək
Coresoft komandası Node.js və PHP üzərində işləyən layihələrdə versiyaların yoxlanılmasını, təhlükəsiz yenilənməsini və yeniləmədən sonra tətbiqlərin işləkliyinin sınaqdan keçirilməsini həyata keçirir. Bu xidmətdən yararlanmaq üçün bizimlə əlaqə saxlayın.
Mənbələr: nodejs.org, Konfirmity.
