Node.js vá lỗ hổng giải mã Brotli có thể dẫn đến RCE
"Node.js released updates for versions 22.x, 24.x, and 26.x to address 10 vulnerabilities, including a high-severity remote code execution flaw (CVE-2026-111497) in the Brotli decoder. Several high-severity TLS certificate bypass issues (CVE-2026-106069, CVE-2026-105483, CVE-2026-105482) were also patched. Updates to bundled dependencies like undici, c-ares, OpenSSL, and SQLite are included."
Lỗ hổng RCE trong trình giải mã Brotli có thể cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Các lỗ hổng TLS bypass có thể dẫn đến tấn công trung gian (MITM).
Các ứng dụng sử dụng Node.js để xử lý dữ liệu nén có thể bị tấn công. Việc cập nhật lên phiên bản mới nhất là cần thiết để bảo vệ dữ liệu nhạy cảm và đảm bảo tính liên tục của dịch vụ.
Node.js phát hành bản cập nhật cho các phiên bản 22.x, 24.x và 26.x để khắc phục 10 lỗ hổng, bao gồm một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng (CVE-2026-111497) trong trình giải mã Brotli. Các vấn đề bỏ qua kiểm tra chứng chỉ TLS (CVE-2026-106069, CVE-2026-105483, CVE-2026-105482) cũng được vá.
Lỗ hổng Brotli nằm trong mã Node.js đóng gói, không phải trong chương trình của người dùng. Node.js chạy mã này khi giải nén dữ liệu Brotli, trực tiếp qua module node:zlib hoặc tự động khi gọi fetch() với phản hồi nén Brotli. Ứng dụng dễ bị tấn công khi giải nén dữ liệu Brotli do kẻ tấn công kiểm soát, ví dụ như body yêu cầu hoặc phản hồi từ máy chủ khác.
Lỗ hổng là lỗi ghi ngoài giới hạn trong trình giải mã Brotli, do dữ liệu nén bị lỗi gây ra. Bản sửa lỗi là bản vá từ dự án Brotli mà Node.js sao chép, giúp trình giải mã bắt lỗi đầu vào không hợp lệ và dừng sớm hơn thay vì ghi vượt ra ngoài bộ đệm. Các phiên bản được vá bao gồm 22.23.4, 24.22.1 và 26.12.1. Các phiên bản Node.js 20.x trở về trước đã hết vòng đời và sẽ không nhận được bản vá.
Ngoài ra, bản cập nhật cũng chặn 8 khóa chứng chỉ từ nhà cung cấp eMudhra của Ấn Độ, vốn đã bị báo cáo là bị xâm phạm. Node.js sử dụng danh sách chứng chỉ gốc của Mozilla nhưng không kiểm tra thu hồi theo mặc định, vì vậy chuỗi chứng chỉ dựa trên một trong các khóa bị xâm phạm vẫn hợp lệ trước bản cập nhật này. Bản cập nhật cũng bao gồm các bản sửa lỗi cho các phần tử đóng gói như undici, c-ares, OpenSSL và SQLite.
Câu hỏi thường gặp
Lỗ hổng CVE-2026-111497 là gì?
Đây là lỗ hổng thực thi mã từ xa (RCE) trong trình giải mã Brotli của Node.js. Kẻ tấn công có thể khai thác lỗ hổng này để chạy mã tùy ý trên hệ thống bị ảnh hưởng.
Các phiên bản Node.js nào bị ảnh hưởng?
Các phiên bản 22.x, 24.x và 26.x đều bị ảnh hưởng bởi lỗ hổng này. Các phiên bản 20.x trở về trước đã hết vòng đời và sẽ không nhận được bản vá.
Bản cập nhật này có bao gồm những thay đổi khác không?
Có, bản cập nhật này cũng bao gồm các bản sửa lỗi cho các vấn đề bỏ qua kiểm tra chứng chỉ TLS, các lỗi trong dns.resolve và các thư viện phụ thuộc như undici, c-ares, OpenSSL và SQLite.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng RCE trong trình giải mã Brotli là đáng chú ý nhất, đặc biệt với các ứng dụng xử lý dữ liệu nén từ nguồn không đáng tin cậy. Các doanh nghiệp Việt Nam nên cập nhật Node.js lên phiên bản mới nhất ngay lập tức. Điều đáng chú ý là bản vá này cũng bao gồm các bản sửa lỗi cho các thư viện phụ thuộc quan trọng, giúp tăng cường bảo mật tổng thể cho ứng dụng.