Node.js 十月安全发版：Brotli 越界写可远程执行代码
来源：nodejs.org — 2026-10-21
📋 概述
Node.js 发布 26.12.1、24.22.1、22.23.4，修一批安全问题，三条线最高等级都是 high。最重的是 Brotli 解码器越界写（CVE-2026-111497），可被利用做远程代码执行；dns.resolve 会把含 NUL 字符的域名截断；另有两条 TLS 主机名校验绕过——把 IP 写成全角数字、或主机名松散解析成 IP 时，证书校验会被骗过。依赖同步更新 c-ares、OpenSSL、SQLite、Undici，以及为 eMudhra 中间证书事件更新的 CA 包。
🔑 核心要点
- CVE-2026-111497：Brotli 解码器越界写，可被利用做远程代码执行，26/24/22 三条线全受影响
- 两条 TLS 主机名绕过值得注意：用全角数字写 IP、主机名松散解析成 IP，都会让证书校验走偏
- dns.resolve 遇到含 NUL 的域名会截断，可能解析到非预期主机
- 熵缓存被写进用户态启动快照与 SEA 后，每个进程会重复同一批 randomUUID/randomInt 值，这条最容易被忽视
- 依赖同步更新，其中 ca-cert 正是为 eMudhra 中间证书泄露事件而更新
💡 金句
It’s important to note that End-of-Life versions are always affected when a security release occurs.
👍 0
👎 0
← 返回 Lobsters 首页