☄️В Node.js нашли ошибку, через которую обычный сжатый ответ может привести к взлому сервера

Привет! Разработчики Node.js срочно закрыли сразу 10 уязвимостей. Самая опасная из них, CVE-2026-111497, затрагивает все поддерживаемые версии и потенциально позволяет удалённо выполнять код. Причём проблема прячется в обычной библиотеке сжатия Brotli.

👨‍💻 Brotli используется для уменьшения размера передаваемых данных. Node.js умеет распаковывать их через node:zlib, а при использовании fetch() может делать это автоматически.

🔴А теперь неприятная часть: специально подготовленные сжатые данные могут заставить декодер записать информацию за пределами выделенного буфера. Если приложение обрабатывает Brotli-данные от атакующего, под угрозой оказывается сам процесс Node.js.

🚨 Исследователи уже опубликовали PoC. На обычной сборке Node.js он вызвал падение процесса и ограниченное чтение памяти, а вот выполнить произвольный код удалось только на специально ослабленной тестовой сборке. Реальных атак пока не зафиксировано.

⚙️ Исправления вышли в Node.js 22.23.4, 24.22.1 и 26.12.1. Заодно разработчики закрыли ошибки проверки TLS-сертификатов, проблемы с DNS и генерацией случайных значений, а также заблокировали восемь скомпрометированных ключей удостоверяющего центра eMudhra.

P.S. Особенно неприятно, что уязвимый код находится внутри Node.js, а не в стороннем npm-пакете. Обновление зависимостей приложения здесь не поможет - нужно обновлять сам runtime.

#NodeJS #Brotli #RCE #Infosec

🤖Бесплатный ChatGPT