Az eMudhra letiltását és négy súlyos hibajavítást hoz a Node.js frissítése
Távoli kódfuttatást lehetővé tevő hibát is javítanak a Node.js új biztonsági kiadásai, amelyek a kompromittálódott eMudhra hitelesítésszolgáltatót is letiltják. Minden támogatott verzióághoz megérkezett a javítás. A projekt figyelmeztetése szerint a már nem támogatott ágak szintén érintettek, használóiknak támogatott kiadásra kell váltaniuk.
Változik, mely tanúsítványokat fogadja el a Node.js
A JavaScript-futtatókörnyezet beépített tanúsítványtárának módosítása blokkolja a kompromittálódott eMudhra hitelesítésszolgáltatót. Ez a mostani biztonsági csomag egyik változása, de nem az egyetlen, amely a tanúsítványok ellenőrzését érinti.
A Node.js mostantól a letiltott köztes tanúsítványokról is tartalmaz egy listát. Ennek alapján el tudja utasítani azokat a TLS-tanúsítványláncokat, amelyek tiltott nyilvános kulcsot tartalmaznak. Ezt akkor is megteheti, ha a lánc gyökértanúsítványát egyébként továbbra is megbízhatónak tekinti.
A csomag tehát az eMudhra blokkolása mellett a köztes tanúsítványok tiltását is kezeli. A beszámoló már a hitelesítésszolgáltató kompromittálódása miatt is sürgősnek nevezi az új kiadások telepítését.
A Brotli hibája távoli kódfuttatást tehet lehetővé
Összesen tíz, magában a Node.js projektben található biztonsági rést javítottak. Közülük négy kapott magas, azaz „high” súlyossági besorolást.
Ezek közül két hiba a TLS-kapcsolatok tanúsítványainak ellenőrzését érinti, egy pedig a DNS-alapú névfeloldásban található. A negyedik a Brotli tömörítési algoritmus dekóderéhez kapcsolódik: ennek hibás működését előidézve a támadó távolról kódot futtathat a célrendszeren.
A javítások nem kizárólag a futtatókörnyezet saját kódját érintik. Az új csomagok a Node.js által használt összetevőkből, például az OpenSSL és az SQLite szoftverekből is újabb változatokat tartalmaznak. Ezek az összetevőfrissítések szintén biztonsági réseket zárnak be.
A használt verzióág dönti el, melyik kiadásra válts
A támogatott ágakhoz az alábbi javított kiadások érhetők el:
- 22.23.4
- 24.22.1
- 26.12.1
A Node.js használóinak a saját verzióágukhoz tartozó kiadásra érdemes mielőbb frissíteniük. A felsorolt csomagok együtt fedik le az összes, jelenleg még támogatott ágat.
Más a teendő, ha már lejárt támogatású, úgynevezett EOL-verzió fut. A projekt csapata külön felhívta a figyelmet arra, hogy ezek a régebbi ágak is érintettek a biztonsági hibákban. Használóiknak sürgősen át kell térniük valamelyik támogatott ágra; a fentieken kívüli kiadási vonalakhoz már nem jár támogatás.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum