Node.js 22.23.4, 24.22.1 i 26.12.1 łatają błąd w dekoderze Brotli

Node.js wydał 21 października poprawki dla wszystkich wspieranych linii, 22.x, 24.x i 26.x, usuwając 10 błędów. Najpoważniejszy to zapis poza buforem w dołączonym do Node.js dekoderze Brotli, który według projektu może pozwolić na zdalne wykonanie kodu. Błąd oceniono jako wysoki, nie krytyczny, a dowód koncepcji opublikowany 22 października wykonał kod tylko na celowo osłabionej wersji testowej.

Kogo dotyczy

Aplikacje na Node.js, które dekompresują dane Brotli kontrolowane przez atakującego: przez moduł node:zlib albo automatycznie przy wywołaniu fetch() na odpowiedzi skompresowanej Brotli, na przykład pobranej z innego serwera. Node.js 20.x i starsze nie dostaną poprawki. Ta sama łatka trafiła do Brotli 1.2.1, 1.1.1 i 1.0.10, więc inne oprogramowanie z własną kopią Brotli też może wymagać aktualizacji.

Co zrobić

Zaktualizuj Node.js do wersji 22.23.4, 24.22.1 lub 26.12.1. Instalacje 20.x i starsze przenieś na wspieraną linię.