Node.js programează remedieri de securitate pentru versiunile 22.x, 24.x și 26.x

Proiectul Node.js a programat actualizări de securitate pentru liniile de versiuni 22.x, 24.x și 26.x. Anunțul le oferă dezvoltatorilor și administratorilor de sistem timp să se pregătească pentru patch-urile care remediază vulnerabilitățile clasificate ca având un nivel de severitate high în toate cele trei ramuri.

Fiecare linie de versiuni va primi o remediere pentru cel puțin o vulnerabilitate cu severitate high. Cu toate acestea, anunțul preliminar nu menționează numărul de vulnerabilități, identificatorii CVE, componentele afectate sau numerele versiunilor remediate. De asemenea, nu oferă detalii despre metodele de atac sau exploatarea confirmată, lăsând riscul tehnic exact neclar până când vor fi disponibile informații suplimentare.

Actualizările planificate vin în continuarea unor remedieri de securitate anterioare pentru Node.js, care vizează TLS, DNS și Brotli. Acele patch-uri din octombrie au remediat vulnerabilități distincte legate de verificarea certificatelor, name resolution și gestionarea datelor comprimate.

O vulnerabilitate notabilă din luna octombrie a fost Node2Shell, identificată ca CVE-2026-111497, o vulnerabilitate cu grad de severitate high în decoder-ul Brotli integrat în Node.js. Aceasta a afectat aceleași trei linii de versiuni și ar fi putut permite unui atacator să corupă memoria procesului atunci când o aplicație decomprima date Brotli rău intenționate prin intermediul modulului node:zlib.

Conform avizului oficial din octombrie, vulnerabilitatea Node2Shell a fost remediată în acea versiune de securitate anterioară. Remedierile au fost incluse în versiunile 22.23.4, 24.22.1 și 26.12.1. Prin urmare, aceasta ar trebui considerată ca un context separat și nu descrisă ca o vulnerabilitate confirmată în setul de patch-uri planificat pentru luna noiembrie.

Node.js avertizează, de asemenea, că versiunile ajunse la sfârșitul perioadei de funcționare sunt afectate atunci când sunt lansate actualizări de securitate. Prin urmare, utilizarea unei ramuri mai vechi nu ar trebui considerată o măsură de protecție doar pentru că aceasta nu figurează pe lista de patch-uri. Proiectul îndrumă utilizatorii către o versiune actualizată și suportată, în loc să continue să folosească versiuni nesuportate.

Programul oficial de lansare menționează Node.js 26.x ca fiind în stadiul de Suport activ pe termen lung, în timp ce versiunile 24.x și 22.x se află în stadiul de Suport de întreținere. Ramurile de întreținere primesc în continuare actualizări de securitate.

Instituțiile care utilizează versiuni neacceptate ar trebui să planifice migrarea către o ramură acceptată, în loc să aștepte patch-uri pentru versiunile retrase.

Sursă: https://cybersecuritynews.com/node-js-schedules-patch/