PHP zapowiada pilne poprawki dwóch krytycznych luk. Publikacja dziś o 16:00
Zespół PHP ostrzegł przed dwiema krytycznymi lukami. Poprawki mają ukazać się 21 października o 16:00 czasu polskiego. Administratorzy powinni przygotować aktualizacje.
Podatności
Node.js wydaje poprawki. Luka w dekompresji Brotli może umożliwić wykonanie kodu
Aktualizacje Node.js 22, 24 i 26 usuwają luki w dekompresji, DNS i sprawdzaniu certyfikatów. Dostępne są wersje 22.23.4, 24.22.1 oraz 26.12.1.
Node.js opublikował 21 października wydania bezpieczeństwa 22.23.4, 24.22.1 i 26.12.1. Usuwają one między innymi lukę CVE-2026-111497 w dekoderze Brotli, która może umożliwić zdalne wykonanie kodu. Aktualizacja dotyczy środowiska uruchomieniowego, więc sama zmiana zależności aplikacji może nie wystarczyć.
Co naprawiono
Błąd dekodera Brotli pozwala na zapis poza przydzielonym obszarem pamięci. Producent ocenia jego wagę jako wysoką i wskazuje gałęzie 22.x, 24.x oraz 26.x jako podatne. Znaczenie dla konkretnej aplikacji zależy między innymi od tego, czy przetwarza ona dane skompresowane kontrolowane przez napastnika.
Pakiet obejmuje także poprawki sprawdzania nazw hostów w certyfikatach TLS i obsługi nazw przez dns.resolve. Część problemów wiąże się z nietypowym zapisem adresów IP, a luka DNS z nazwami zawierającymi znak NUL. Nie należy ograniczać oceny wdrożenia wyłącznie do obsługi Brotli.
Gdzie szukać podatnych wersji
Kontroli wymagają serwery aplikacyjne, obrazy kontenerów, maszyny programistów i środowiska automatycznego budowania. Własne obrazy mogą nadal zawierać stare środowisko Node.js, nawet jeżeli system gospodarza został już zaktualizowany.
Dostawca easyDNS również opublikował 21 października ostrzeżenie dotyczące tych aktualizacji. Przypomina, że niewspierane gałęzie nie otrzymują poprawek. W takich wdrożeniach potrzebne jest przejście do obsługiwanej linii, z uwzględnieniem zgodności aplikacji.
Co zrobić teraz
- Zinwentaryzować wersje Node.js w działających procesach i obrazach.
- Wdrożyć 22.23.4, 24.22.1 lub 26.12.1, odpowiednio do używanej gałęzi.
- Przebudować kontenery i ponownie uruchomić usługi korzystające ze starego środowiska.
- Sprawdzić działanie dekompresji, połączeń TLS i rozwiązywania nazw po aktualizacji.
- Uzyskać potwierdzenie aktualizacji od dostawców usług zarządzanych.
Komentarz SecurHUB
Skuteczność aktualizacji warto potwierdzać na działającym procesie, a nie tylko w pliku konfiguracyjnym. Audyty bezpieczeństwa pomagają odnaleźć starsze środowiska i ustalić odpowiedzialność za ich utrzymanie.
