Node.js sửa lỗi TLS và Brotli nghiêm trọng trong các phiên bản 26, 24 và 22

Một lỗ hổng trong xác minh tên máy chủ TLS của Node.js cho phép chứng chỉ không có địa chỉ IP SAN khớp xác thực kết nối đến địa chỉ IPv4 khi tên máy chủ được viết với các ký tự không phải ASCII, như các chữ số fullwidth (`１２７.0.0.1`). `tls.checkServerIdentity()` không nhận ra các tên máy chủ như địa chỉ IP, ngay cả khi chúng được chuẩn hóa và giải quyết thành một địa chỉ IPv4 thông thường, và so sánh chúng với tê…

Một lỗ hổng trong việc xác minh tên máy chủ TLS của Node.js có thể khiến chứng chỉ máy chủ được xác minh chống lại một địa chỉ IP khác so với địa chỉ mà khách hàng kết nối, khi tên là một chuỗi IPv4 không chuẩn có một số hàng đầu là số 0, như `0127.0.0.1`. Theo quy tắc URL của WHATWG, chuỗi số hàng đầu được đọc như hệ số octal (`0127.0.0.1` trở thành `87.0.0.1`), trong khi quá trình kết nối được thực hiện thông qu…

Một lỗ hổng trong việc xác minh tên máy chủ TLS của Node.js cho phép chứng chỉ chỉ có một DNS SAN xác thực một điểm kết nối IP khi khách hàng kết nối bằng cách sử dụng một cách viết IPv4 không chuẩn, như `0177.0.0.1`, `0x7f.0.0.1`, `2130706433` hoặc `127.1`. Hàm `tls.checkServerIdentity()` không phân loại các tên máy chủ này là địa chỉ IP, mà đã chuẩn hóa chúng thành dạng chuẩn và so sánh kết quả với tên miền DNS …

Google Brotli — Lỗ hổng giá trị trả về không kiểm tra của bộ giải mã Brotli của Google. Đưa vào KEV ngày 2026-10-27, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-10. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và hướng dẫn CISA “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Viết ngoài phạm vi trong bộ giải mã Brotli của Google

Một lỗ hổng tràn bộ đệm trong bộ giải mã Brotli (c/dec/decode.c) trong các phiên bản Google Brotli từ 1.0.3 đến 1.2.0 trên tất cả các nền tảng cho phép một kẻ tấn công không xác thực từ xa để làm hỏng bộ nhớ trạng thái giải mã ngoài phạm vi, tiết lộ nội dung bộ nhớ nhạy cảm, gây ra tình trạng không thể sử dụng dịch vụ hoặc có thể thực thi mã code tùy ý sử dụng một luồng Brotli-compressed stream được tạo ra.

Một lỗ hổng trong việc tái sử dụng kết nối của Agent HTTP trong Node.js có thể khiến khách hàng chấp nhận phản hồi hợp lệ trước khi khách hàng đã gửi yêu cầu. Đây là một giải pháp không hoàn chỉnh cho CVE-2026-48931. Giá đỡ phá hủy các luồng keep-alive đang-idle khi có dữ liệu không mong đợi chỉ chạy khi vòng lặp sự kiện đang kiểm tra I/O. Nếu một phản hồi không mong đợi đã đạt đến luồng nhưng chưa được đọc trước…

Một lỗ hổng trong quá trình giải quyết DNS của Node.js cho phép tên miền chứa ký tự NUL bị cắt đứt im lặng bởi các hàm dns.resolve*() và dns.reverse(). Đây là một giải pháp không hoàn chỉnh của CVE-2026-48930, chỉ bao gồm dns.lookup() và các tùy chọn host của net/tls. Vì tên được truyền đến c-ares dưới dạng chuỗi C, giải quyết các yêu cầu tên như attacker.example\0.trusted.example sẽ giải quyết attacker.example v…

A flaw in Node.js `crypto` causes the internal entropy caches used by `crypto.randomUUID()`, `crypto.randomUUIDv7()`, and `crypto.randomInt()` to be saved into user-land startup snapshots (`--build-snapshot`) and single executable applications built with `useSnapshot`. If any of these functions, or an API that relies on them such as `URL.createObjectURL()`, is called while the snapshot is built, every process sta…(bản gốc tiếng Anh — đang chờ dịch)

A flaw in the Node.js `zlib.ZipFile` API can cause it to return bytes that do not belong to the requested entry after the local and central header validation fails. When `zipEntry.modified` is read on an archive whose local header does not match its central directory, either directly or while compacting the archive, the validation error is caught but the parsed local header is left cached without a content offset…(bản gốc tiếng Anh — đang chờ dịch)

Một lỗ hổng trong mô hình quyền truy cập filesystem của Node.js có thể cấp quyền truy cập vào các đường dẫn không phù hợp với quy tắc wildcard `--allow-fs-read` hoặc `--allow-fs-write`. Khi đường dẫn yêu cầu ngắn hơn tiền tố của một quy tắc cấp quyền wildcard, quá trình tìm kiếm cây nhị phân dừng so sánh sớm và coi đường dẫn đó là một khớp. Ví dụ, `--allow-fs-read=/etc/passwd.*` cũng cho phép đọc `/etc/passwd`. Đi…

Trong mô hình quyền của Node.js, một lỗ hổng trong việc thực thi filesystem để `fs.realpathSync()` không có kiểm tra quyền đọc cần thiết. Đây là một sửa chữa không hoàn chỉnh của CVE-2026-21715, chỉ bao gồm `fs.realpathSync.native()`. Do đó, mã chạy dưới `--permission` với quyền đọc filesystem bị hạn chế `--allow-fs-read` vẫn có thể sử dụng `fs.realpathSync()` để kiểm tra tồn tại của tệp, giải quyết mục tiêu của …