Node.js prévient les administrateurs: des correctifs urgents pour les trois versions prises en charge arrivent mercredi
Dans les branches 22.x, 24.x et 26.x, au moins une vulnérabilité de gravité élevée sera corrigée à chaque fois, les détails ne suivront qu'à la publication.
Le projet Node.js publiera le mercredi 11 novembre, ou peu après, des mises à jour de sécurité pour les versions prises en charge 22.x, 24.x et 26.x. Chacune de ces trois branches recevra un correctif pour au moins une vulnérabilité de gravité élevée, indique la pré-annonce publiée sur le site officiel. Antoine du Hamel a envoyé l'avertissement mercredi dernier sur la liste de diffusion oss-security, rapporte FOSS Linux.
Les détails manquent encore: aucun numéro CVE, aucun nombre de failles ni aucun composant touché n'a été communiqué, souligne Cyber Security News. Le projet rappelle que les versions qui ne sont plus prises en charge sont toujours vulnérables lors d'une telle série de correctifs, si bien que passer à une branche prise en charge reste la seule vraie solution. Node.js 26.x est la version LTS active, tandis que 24.x et 22.x reçoivent des mises à jour de maintenance.
C'est la deuxième série en peu de temps. Le 21 octobre, des mises à jour avaient déjà été publiées pour ces trois branches, notamment pour une faille grave dans le décodeur Brotli intégré, qui pouvait provoquer un plantage, une fuite de mémoire ou l'exécution de code lors de la décompression de données malveillantes. FOSS Linux conseille aux administrateurs de vérifier dès à présent leurs versions et leurs images de conteneurs afin de pouvoir les reconstruire immédiatement le jour de la publication.