Node.js ले आपतकालीन सुरक्षा सुधार जारी गर्‍यो, आक्रमणकारीको कोड चलाउने त्रुटिसहित

Node.js परियोजनाले बुधबार, अक्टोबर 21 मा आपतकालीन सुरक्षा अद्यावधिकहरू जारी गर्‍यो, जसले विश्वका धेरै वेब सर्भर, API र निर्माण उपकरणहरू चलाउने JavaScript रनटाइमका 10 कमजोरीहरू समाधान गर्‍यो। सुधारिएका संस्करणहरू 22.23.4, 24.22.1 र 26.12.1 हुन्। चार कमजोरी उच्च गम्भीरताका छन्, र परियोजनाले आफ्नो नियमित चेतावनी दोहोर्‍याएको छ कि सुरक्षा संस्करण आउँदा जीवनकाल सकिएका संस्करणहरू सधैं प्रभावित हुन्छन्, र तिनका लागि कुनै सुधार आउँदैन।

चारमध्ये सबैभन्दा खराब

सबैभन्दा गम्भीर त्रुटि, CVE-2026-111497, Node.js सँग आउने Brotli डिकोडरमा छ। Brotli वेबभर प्रयोग हुने संकुचन ढाँचा हो। बिग्रिएको संकुचित डाटाले डिकोडरलाई आफ्नो तोकिएको मेमोरी क्षेत्रबाहिर लेख्न बाध्य बनाउन सक्छ, र अनुसन्धानकर्ताहरूले यो त्रुटिलाई रिमोट कोड कार्यान्वयनसम्म पुर्‍याउन सकिने देखाएका छन्, जुन Node.js प्रक्रियाकै अनुमतिसहित चल्छ। जोखिमको सर्त भने एक्सपोजर हो: Node.js आफैले Brotli डिकोड गर्दैन। सर्भर त्यतिबेला जोखिममा हुन्छ जब त्यसको कोडले, वा त्यसले प्रयोग गर्ने लाइब्रेरीले, आक्रमणकारीले नियन्त्रण गरेको Brotli डाटा खोल्छ, या त प्राप्त गरेको अनुरोधमा, या त कतैबाट तानेको प्रतिक्रियामा।

भाँचिएका पहिचान जाँचहरू

थप दुई उच्च गम्भीर त्रुटि, CVE-2026-105483 र CVE-2026-106069, ले TLS प्रमाणपत्र होस्टनाम प्रमाणीकरण कमजोर बनाउँछन्, जुन जाँचले सर्भर साँच्चै आफूले दाबी गरेको नै हो भन्ने निश्चित गर्छ। IP ठेगाना लेख्ने असामान्य तरिकाहरू, जसमा फुल-विड्थ अंक प्रयोग गर्ने तरिका पनि पर्छ, ले गलत प्रमाणपत्रलाई जाँच छल्न सक्छ। चौथो त्रुटि, CVE-2026-105482, ले DNS रिजोल्भरलाई NUL अक्षर भएका नामहरू काट्न बाध्य बनाउँछ। बाँकी सुधारहरूले HTTP keep-alive गडबडी, स्टार्टअप स्न्यापसटमा दोहोरिने अनियमित मान, ZIP ह्यान्डलिङ र अनुमति जाँचहरू समेट्छन्।

शान्त प्रमाणपत्र सफाइ

यही संस्करणले Node.js सँग आउने विश्वसनीय प्रमाणपत्र प्राधिकरणहरूको बन्डल पनि अद्यावधिक गर्छ, सम्झौता भएको eMudhra मध्यवर्ती प्राधिकरणसँग जोडिएका प्रमाणपत्रहरूमाथिको विश्वास हटाएर। eMudhra कुंजी सम्झौता बाहिर आएपछि Mozilla, Google र Apple ले अक्टोबर 17 देखि 19 बीच ती प्रमाणपत्रहरू अवरुद्ध गरेका थिए, र भारतीय अधिकारीहरूले अझै त्यस मामिलाको अनुसन्धान गरिरहेका छन्। अब Node.js एपहरूले पनि प्रभावित प्रमाणपत्रहरू अस्वीकार गर्नेछन्।

कसले सर्नुपर्छ

उत्पादनमा Node.js 22, 24 वा 26 चलाउने जो कोहीले सुधारिएका संस्करणहरू स्थापना गरी आफ्ना सेवाहरू पुनः सुरु गर्नुपर्छ, किनभने अद्यावधिकले पहिलेदेखि चलिरहेको प्रक्रियालाई बदल्दैन। Node.js 20 वा पुरानोमा अड्किएका टोलीहरूको समस्या झन् गाह्रो छ: ती संस्करणहरूको जीवनकाल सकियो, Node 20 को अप्रिल 30, 2026 मा, र तिनले यी सुधारहरू कहिल्यै पाउने छैनन्। तिनका लागि सुरक्षित विकल्प भनेको समर्थित संस्करणमा सर्नु मात्र हो।

स्रोतहरू

Cybersecurity News, SecurityOnline र TechCrunch का रिपोर्टहरू, तल लिङ्क गरिएको छ।