Das Node.js-Projekt hat Sicherheitsupdates für alle noch unterstützten Release-Zweige der JavaScript-Laufzeitumgebung veröffentlicht. Neben Fehlerbehebungen für insgesamt zehn projekteigene Sicherheitslücken enthalten die Updates auch neue Versionen von Projekten wie OpenSSL oder SQLite, auf die Node.js aufbaut. Diese Aktualisierungen von Abhängigkeiten schließen ebenfalls Sicherheitslücken. Dazu zählt ein Update für den eingebauten Zertifikatsspeicher, das die kompromittierte Zertifizierungsstelle eMudhra blockiert. Zusätzlich enthält Node.js nun eine Liste blockierter Zwischenzertifikate und kann so TLS-Zertifikatsketten ablehnen, die gesperrte öffentliche Schlüssel enthalten, auch wenn dem Wurzelzertifikate noch vertraut wird.

Schon aufgrund des eMudhra-Debakels sind die Updates dringend, aber auch vier der behobenen Sicherheitslücken in Node.js werden mit dem Schweregrad „high“ bewertet. Zwei davon betreffen die Zertifikatsprüfung von TLS-Verbindungen, eine die Namensauflösung per DNS. Die vierte ermöglicht Angreifern, aus der Ferne Code auf dem Zielsystem auszuführen (remote code execution), indem sie Node.js’ Decoder für den Kompressionsalgorithmus Brotli aus dem Tritt bringen.

Node.js-Nutzer sollten zügig auf die Version 22.23.4, 24.22.1 oder 26.12.1 updaten, je nachdem, welchen Versionszweig sie nutzen. Alle anderen Release-Zweige werden nicht mehr unterstützt und das Node.js-Team weist explizit darauf hin, dass solche End-of-Life-Zweige (EOL) ebenfalls betroffen sind. Nutzer einer EOL-Version sollten dringend auf einen der unterstützten Release-Zweige wechseln.

(syt)