Node.js ने आपात सुरक्षा सुधार जारी किए, जिनमें हमलावरों का कोड चलाने वाली खामी भी शामिल
अक्टूबर सुरक्षा रिलीज़ 22, 24 और 26 लाइनों में 10 कमज़ोरियाँ ठीक करती है। चार उच्च गंभीरता की हैं, और जीवनकाल समाप्त संस्करणों को कोई सुधार नहीं मिलता।
मुख्य बिंदु
- Node.js परियोजना ने बुधवार, 21 अक्टूबर को आपात सुरक्षा अपडेट जारी किए, जिनसे उस JavaScript रनटाइम की 10 कमज़ोरियाँ ठीक हुईं जो दुनिया के बड़े हिस्से के वेब सर्वर, API और बिल्ड टूल चलाता है। ठीक…
- सबसे गंभीर खामी, CVE-2026-111497, Node.js के साथ आने वाले Brotli डिकोडर में है। Brotli पूरे वेब पर इस्तेमाल होने वाला कंप्रेशन प्रारूप है। बिगड़ा हुआ कंप्रेस्ड डेटा डिकोडर को उसके तय मेमोरी…
- दो और उच्च गंभीरता वाली खामियाँ, CVE-2026-105483 और CVE-2026-106069, TLS प्रमाणपत्र होस्टनाम सत्यापन को कमज़ोर करती हैं, वह जाँच जो तय करती है कि सर्वर सचमुच वही है जिसका वह दावा करता है। IP पता…
Node.js परियोजना ने बुधवार, 21 अक्टूबर को आपात सुरक्षा अपडेट जारी किए, जिनसे उस JavaScript रनटाइम की 10 कमज़ोरियाँ ठीक हुईं जो दुनिया के बड़े हिस्से के वेब सर्वर, API और बिल्ड टूल चलाता है। ठीक किए गए संस्करण 22.23.4, 24.22.1 और 26.12.1 हैं। चार खामियाँ उच्च गंभीरता की हैं, और परियोजना ने अपनी नियमित चेतावनी दोहराई कि सुरक्षा रिलीज़ आने पर जीवनकाल समाप्त संस्करण हमेशा प्रभावित होते हैं, और उनके लिए कोई सुधार नहीं आता।
चारों में सबसे खराब
सबसे गंभीर खामी, CVE-2026-111497, Node.js के साथ आने वाले Brotli डिकोडर में है। Brotli पूरे वेब पर इस्तेमाल होने वाला कंप्रेशन प्रारूप है। बिगड़ा हुआ कंप्रेस्ड डेटा डिकोडर को उसके तय मेमोरी क्षेत्र से बाहर लिखने पर मजबूर कर सकता है, और शोधकर्ताओं ने दिखाया कि इस खामी को रिमोट कोड निष्पादन तक ले जाया जा सकता है, जो Node.js प्रक्रिया की अनुमतियों के साथ चलता है। शर्त एक्सपोज़र की है: Node.js खुद Brotli डिकोड नहीं करता। सर्वर तब जोखिम में होता है जब उसका कोड, या उसकी इस्तेमाल की हुई लाइब्रेरी, हमलावर के नियंत्रण वाला Brotli डेटा खोलती है, चाहे वह मिले हुए अनुरोध में हो या कहीं से लाई गई प्रतिक्रिया में।
टूटी पहचान जाँचें
दो और उच्च गंभीरता वाली खामियाँ, CVE-2026-105483 और CVE-2026-106069, TLS प्रमाणपत्र होस्टनाम सत्यापन को कमज़ोर करती हैं, वह जाँच जो तय करती है कि सर्वर सचमुच वही है जिसका वह दावा करता है। IP पता लिखने के असामान्य तरीके, जिनमें फुल-विड्थ अंकों वाला तरीका भी शामिल है, गलत प्रमाणपत्र को जाँच से निकलवा सकते थे। चौथी खामी, CVE-2026-105482, DNS रिज़ॉल्वर को NUL अक्षर वाले नाम काटने पर मजबूर करती है। बाकी सुधार HTTP keep-alive गड़बड़ियों, स्टार्टअप स्नैपशॉट में दोहराए गए रैंडम मानों, ZIP हैंडलिंग और अनुमति जाँचों को ठीक करते हैं।
एक शांत प्रमाणपत्र सफाई
यही रिलीज़ Node.js के साथ आने वाले विश्वसनीय प्रमाणपत्र प्राधिकरणों के बंडल को भी अपडेट करती है, समझौता हुए eMudhra मध्यवर्ती प्राधिकरण से जुड़े प्रमाणपत्रों पर भरोसा हटाकर। eMudhra कुंजी समझौते के सामने आने के बाद Mozilla, Google और Apple ने 17 से 19 अक्टूबर के बीच उन प्रमाणपत्रों को अवरुद्ध किया था, और भारतीय अधिकारी अब भी उस मामले की जाँच कर रहे हैं। अब Node.js ऐप भी प्रभावित प्रमाणपत्रों को अस्वीकार करेंगे।
किसे कदम उठाना है
जो भी उत्पादन में Node.js 22, 24 या 26 चला रहा है, उसे सुधारे गए संस्करण लगाने चाहिए और अपनी सेवाएँ फिर से शुरू करनी चाहिए, क्योंकि अपडेट पहले से चल रही प्रक्रिया को नहीं बदलता। Node.js 20 या उससे पुराने पर अटकी टीमों की मुश्किल और बड़ी है: उन संस्करणों का जीवनकाल खत्म हो चुका है, Node 20 का 30 अप्रैल, 2026 को, और उन्हें ये सुधार कभी नहीं मिलेंगे। उनके लिए एकमात्र सुरक्षित रास्ता समर्थित संस्करण पर जाना है।
स्रोत
Cybersecurity News, SecurityOnline और TechCrunch की रिपोर्टें, नीचे लिंक की गई हैं।
टाइमलाइन
- Apr 30, 2026Node.js 20 का जीवनकाल समाप्त होता है, इसलिए बाद की सुरक्षा रिलीज़ों में उसे कोई सुधार नहीं मिलता।
- Oct 17, 2026Mozilla, Google और Apple समझौता हुए eMudhra मध्यवर्ती प्राधिकरण से जुड़े प्रमाणपत्रों को अवरुद्ध करना शुरू करते हैं, प्रक्रिया 19 अक्टूबर तक पूरी होती है।
- Oct 21, 2026Node.js Brotli रिमोट कोड निष्पादन खामी समेत 10 कमज़ोरियाँ ठीक करते हुए 22.23.4, 24.22.1 और 26.12.1 जारी करता है।