Node.js waarschuwt beheerders: woensdag volgen dringende patches voor alle drie de ondersteunde versies
In de lijnen 22.x, 24.x en 26.x wordt telkens minstens één kwetsbaarheid met ernstgraad hoog gedicht, details volgen pas bij de release.
Het Node.js-project brengt op of kort na woensdag 11 november beveiligingsupdates uit voor de ondersteunde versies 22.x, 24.x en 26.x. In elk van die drie lijnen wordt minstens één kwetsbaarheid met ernstgraad hoog verholpen, staat in de vooraankondiging op de officiële website. Antoine du Hamel stuurde de waarschuwing vorige woensdag naar de mailinglijst oss-security, meldt FOSS Linux.
Details ontbreken nog: er zijn geen CVE-nummers, aantallen of getroffen onderdelen bekendgemaakt, benadrukt Cyber Security News. Het project herhaalt dat versies die niet langer ondersteund worden bij zo'n beveiligingsronde altijd kwetsbaar zijn, zodat overstappen naar een ondersteunde lijn de enige echte oplossing is. Node.js 26.x is de actieve LTS-versie, 24.x en 22.x krijgen onderhoudsupdates.
Het is de tweede ronde op korte tijd. Op 21 oktober kwamen al updates voor dezelfde drie lijnen, onder meer voor een ernstig lek in de ingebouwde Brotli-decoder, dat bij het uitpakken van kwaadaardige data tot een crash, uitgelekt geheugen of het uitvoeren van code kon leiden. FOSS Linux raadt beheerders aan hun versies en containerimages nu al na te kijken, zodat ze die op de dag van de release meteen kunnen herbouwen.