Ne0199 on Nostr: La mise à jour de Node.js améliore les lacunes à haut risque Les nouvelles ...
La mise à jour de Node.js améliore les lacunes à haut risque
Les nouvelles versions de Node.js 22.x, 24.x et 26.x corrigent les vulnérabilités à haut risque et protègent contre les certificats compromis contre eMudhra.
Le projet Node.js a publié des mises à jour de sécurité pour toutes les branches de version encore prises en charge de l'environnement d'exécution JavaScript. En plus des corrections de bugs pour un total de dix vulnérabilités spécifiques au projet, les mises à jour incluent également de nouvelles versions de projets comme OpenSSL ou SQLite, sur laquelle Node.js est basé. Ces mises à jour des dépendances closent également les vulnérabilités de sécurité. Cela inclut une mise à jour du magasin de certificats intégré qui bloque l'organisme de certification compromis eMudhra. En outre, Node.js inclut maintenant une liste de certificats intermédiaires bloqués et peut ainsi rejeter les chaînes de certificats TLS qui contiennent des clés publiques verrouillées, même si le certificat racine est toujours fiable.
Déjà en raison de la débâcle eMudhra, les mises à jour sont urgentes, mais aussi quatre des vulnérabilités fixes dans Node.js sont notées «élevées» avec la gravité. Deux d'entre eux concernent la vérification des certificats de connexions TLS, l'une de la résolution de nom par DNS. Le quatrième permet aux attaquants d'exécuter du code à distance sur le système cible en sortant les décodeurs de Node.js de l'étape de l'algorithme de compression Brotli.
Les utilisateurs de Node.js doivent rapidement mettre à jour les versions 22.23.4, 24.22.1 ou 26.12.1, en fonction de la branche de version qu'ils utilisent. Toutes les autres branches de libération ne sont plus prises en charge et l'équipe Node.js souligne explicitement que de telles branches de fin de vie (EOL) sont également affectées. Les utilisateurs d'une version EOL doivent passer d'urgence à l'une des branches de version prises en charge.
Source :
https://www.heise.de/news/Node-js-fixt-eigene-und-geerbte-Sicherheitsluecken-11495996.htmlPublished at
2026-10-21 18:41:14 UTCEvent JSON
{
"id": "d8e6299cf3b8c7129d358a73d25b727b2112b5e0e2cd207ebb915bb90347e55b",
"pubkey": "c417dff65e7a32579dd3e5a4d9e41c8cc84ac70c16d5459e509828b2a6726c0c",
"created_at": 1792608074,
"kind": 1,
"tags": [
[
"imeta",
"url https://npub1cstalaj70ge908wnukjdnequ3nyy43cvzm25t8jsnq5t9fnjdsxqpmqa3l.blossom.band/c0ad968c9ccf3ce3315b04afe89bf7687b78e3e969f81898a61319d1bd2a1ac8.jpg",
"ox c0ad968c9ccf3ce3315b04afe89bf7687b78e3e969f81898a61319d1bd2a1ac8",
"x c0ad968c9ccf3ce3315b04afe89bf7687b78e3e969f81898a61319d1bd2a1ac8",
"m image/jpeg",
"dim 610x343",
"bh LA70[n-T5R5YJIR*s*xG9$NK-S-S",
"blurhash LA70[n-T5R5YJIR*s*xG9$NK-S-S",
"thumb https://image.nostr.build/thumb/c0ad968c9ccf3ce3315b04afe89bf7687b78e3e969f81898a61319d1bd2a1ac8.jpg",
"size 49850",
"fallback https://image.nostr.build/c0ad968c9ccf3ce3315b04afe89bf7687b78e3e969f81898a61319d1bd2a1ac8.jpg",
"thumbhash igYGLIIMQptumGhjvItagNYBSA=="
]
],
"content": "La mise à jour de Node.js améliore les lacunes à haut risque\n\nLes nouvelles versions de Node.js 22.x, 24.x et 26.x corrigent les vulnérabilités à haut risque et protègent contre les certificats compromis contre eMudhra. \nhttps://npub1cstalaj70ge908wnukjdnequ3nyy43cvzm25t8jsnq5t9fnjdsxqpmqa3l.blossom.band/c0ad968c9ccf3ce3315b04afe89bf7687b78e3e969f81898a61319d1bd2a1ac8.jpg\nLe projet Node.js a publié des mises à jour de sécurité pour toutes les branches de version encore prises en charge de l'environnement d'exécution JavaScript. En plus des corrections de bugs pour un total de dix vulnérabilités spécifiques au projet, les mises à jour incluent également de nouvelles versions de projets comme OpenSSL ou SQLite, sur laquelle Node.js est basé. Ces mises à jour des dépendances closent également les vulnérabilités de sécurité. Cela inclut une mise à jour du magasin de certificats intégré qui bloque l'organisme de certification compromis eMudhra. En outre, Node.js inclut maintenant une liste de certificats intermédiaires bloqués et peut ainsi rejeter les chaînes de certificats TLS qui contiennent des clés publiques verrouillées, même si le certificat racine est toujours fiable.\n\nDéjà en raison de la débâcle eMudhra, les mises à jour sont urgentes, mais aussi quatre des vulnérabilités fixes dans Node.js sont notées «élevées» avec la gravité. Deux d'entre eux concernent la vérification des certificats de connexions TLS, l'une de la résolution de nom par DNS. Le quatrième permet aux attaquants d'exécuter du code à distance sur le système cible en sortant les décodeurs de Node.js de l'étape de l'algorithme de compression Brotli.\n\nLes utilisateurs de Node.js doivent rapidement mettre à jour les versions 22.23.4, 24.22.1 ou 26.12.1, en fonction de la branche de version qu'ils utilisent. Toutes les autres branches de libération ne sont plus prises en charge et l'équipe Node.js souligne explicitement que de telles branches de fin de vie (EOL) sont également affectées. Les utilisateurs d'une version EOL doivent passer d'urgence à l'une des branches de version prises en charge.\n\nSource : https://www.heise.de/news/Node-js-fixt-eigene-und-geerbte-Sicherheitsluecken-11495996.html",
"sig": "4585daa4a74fa8d6c431cd8ed617c6c377e80cf715acb4e900427128ac4bf71c1f37431efa80337f37586bb422f809d75296a9715c53f2d93cc21a80c6f8fec0"
}
