Node.jsも修正版を発表
ふさがれた穴は10個、そのうち4個が深刻度「高」。
・圧縮データの展開処理にバグがあり、細工されたデータでサーバーを乗っ取られる恐れ。
・通信相手が本物かを確かめる仕組みが、IPアドレスの書き方ひとつですり抜けられる。(本人確認、書き方次第で顔パス)
・特定の使い方をすると、毎回ランダムなはずのIDが別々に動かしたプログラムでも同じ値になる。(ランダムとは)
修正版は v26.12.1 / v24.22.1 / v22.23.4。
20系以前はもうサポート切れなので、修正版は出ません。(「まだ動いてるから大丈夫」は、だいたい大丈夫じゃないフラグ)
ついでにPHPは”ログインなしで乗っ取り級”が2件、GitLabはCVSS 10.0で満点。満点を取らなくていいテストもあるでしよう
🔐 Node.js security updates are now available!
New releases for Node.js 22.x, 24.x & 26.x address multiple vulnerabilities, including high-severity issues.
Review the details and update your systems to stay secure.
🔗 nodejs.org/en/blog/vulnerabi…
#NodeJS #Security
