Для Node.js вышли обновления веток 26.x, 24.x и 22.x. Как сообщает IT Home, они закрывают четыре уязвимости высокого уровня опасности и ряд менее серьёзных проблем.
Одна из уязвимостей высокого уровня опасности затрагивает декодер Brotli: ошибка записи за пределами выделенной памяти может привести к удалённому выполнению кода. Она присутствует во всех трёх ветках. Там же исправлены обрезание доменного имени с нулевым символом при вызове dns.resolve и обход проверки имени хоста в TLS-сертификате, когда имя из-за нестрогого разбора распознаётся как IP-адрес. Ещё один способ обойти проверку имени хоста — с помощью IP-адреса, записанного полноширинными цифрами, — затрагивает только ветки 26.x и 24.x.
Среди других исправлений — ошибка кэширования случайных значений: при использовании снимков запуска или автономных исполняемых приложений разные процессы могли получать одинаковые результаты crypto.randomUUID() и randomInt(). Эта проблема затрагивает все три ветки. Также обновления устраняют ошибки в модели разрешений Node.js, ограничивающей доступ программы к ресурсам.
Источник: IT Home.
