Node.js Sicherheitsupdates voraussichtlich am 11 November

#Folgen Sie der Ankündigung, ohne die Lösung zu erraten

Das angekündigte Datum bleibt ein Veröffentlichungsfenster. Die Vorbereitung der Wartung für 11 November bedeutet nicht, dass ein Paket zu einer bestimmten Stunde verfügbar sein wird. Überprüfen Sie die aktualisierten Beratungs- und Versionshinweise, wenn Sie die bereitzustellenden Binärdateien oder Images auswählen.

Wir können dieser Kampagne noch kein Ausnutzungsszenario beschreiben oder eine CVE-Kennung zuweisen. Wir können eine Anwendung auch nicht allein aufgrund ihrer aktuellen Version als vor nicht veröffentlichten Informationen geschützt erklären. Der Schweregrad „HIGH“ erfordert eine gründliche Vorbereitung. Der genaue Umfang muss bestätigt werden, sobald die Korrekturen verfügbar sind.

die offizielle Ankündigung vom Node.js November

#Oktober-Korrekturen bleiben die verfügbare Basislinie

Die Oktoberkampagne 21 hat bereits folgende Versionen veröffentlicht: 22.23.4,, 24.22.1 und 26.12.1.. Das Warten auf die Empfehlung vom November macht es nicht überflüssig, bereits verfügbare Korrekturen für eine Anwendung anzuwenden.

Bei unserem PRNext-Ausführungsaudit, das während der am 5 November (französischer Ortszeit) abgeschlossenen Wartung durchgeführt wurde, wurden Node.js 24.22.1 in den Diensten gefunden und fünf Container überprüft. Die überprüfte Synchronisierungsaufgabe verwendet 22.23.4.. Diese Prüfung identifizierte die verwendeten Laufzeiten, ohne Node.js zu ersetzen.

Version 24.22.2 ist ebenfalls verfügbar. In den Versionshinweisen vom Oktober 28 werden Wartungsarbeiten einschließlich V8-Änderungen und die Verarbeitung asynchroner Stream-Kontexte beschrieben. Es handelt sich nicht um den für November angekündigten Sicherheitsupdate und wurde bei dieser Prüfung nicht installiert.

#Finden Sie den Node.js, der Ihrer Anwendung tatsächlich dient

Ein Terminal kann eine andere Version vom Dienst melden. Ein Prozessmanager kann einen absoluten Pfad zu einer älteren Binärdatei beibehalten. Ein Container verfügt über ein eigenes Image, während eine geplante Aufgabe möglicherweise noch einen anderen Interpreter verwendet. Durch die Aktualisierung der Terminallaufzeit werden diese ausführbaren Dateien nicht automatisch ersetzt.

Verbinden Sie jeden Prozess mit seiner Startkonfiguration und ausführbaren Datei. Überprüfen Sie bei einem Container die darin enthaltene Version und behalten Sie die genaue Bildreferenz bei. Überprüfen Sie für einen Dienst auch die Prozesse, die nach der Bereitstellung gestartet wurden. Die folgenden Befehle beschreiben nur den im aktuellen Terminal gestarteten Prozess; Sie bieten einen Ausgangspunkt für diese Bestandsaufnahme.

node --version
node -p "process.execPath"

#Bereiten Sie Bereitstellung und Wiederherstellung gemeinsam vor

Sobald Releases veröffentlicht sind, wählen Sie den Fix für Ihre unterstützte Release-Linie aus und validieren Sie dasselbe Artefakt, das für den Server vorgesehen ist. Durch die Anwendung eines Sicherheitsupdates innerhalb der aktuellen Release-Reihe bleibt dieser Eingriff von einer Hauptversionsmigration getrennt, die eigene Kompatibilitätsarbeiten erfordert.

Erstellen Sie neu, wenn Ihre Verteilungsmethode oder native Abhängigkeiten dies erfordern. Testen Sie Start, Authentifizierung, Lese- und Schreibvorgänge der Anwendung, externe Verbindungen und die tatsächlich verwendeten Streaming-Pfade. Überprüfen Sie nach dem Austausch die Version in den neuen Prozessen und Containern und überwachen Sie dann Fehler und Neustarts.

Halten Sie eine Code- und Image-Wiederherstellungsstrategie ein, die mit den aktuellen Daten kompatibel ist. Die Rückkehr zu einem früheren Artefakt kann auch eine anfällige Laufzeit wieder einführen, daher muss deren Zusammensetzung bekannt sein. Das Wiederherstellen einer alten Datenbank zum Rückgängigmachen einer Laufzeitänderung könnte zum Verwerfen von Schreibvorgängen führen und fällt nicht unter diesen Vorgang.

#Ein npm-Update ersetzt nicht die Laufzeit

PRNext, die Node.js-Laufzeit und das Server-Betriebssystem verfügen über separate Update-Zyklen. Die Installation einer neuen PRNext-Version ersetzt nicht die Binärdatei eines laufenden Dienstes oder ein vorhandenes Container-Image.

Der nächste Kontrollpunkt ist die aktualisierte Node.js-Beratung um 11 November. Für den Abschluss des Eingriffs sind dann korrigierte, tatsächlich laufende Versionen und verifizierte Anwendungsreisen erforderlich. In diesem Artikel wird die Vorbereitung vom 5 November erfasst; es bestätigt keine Lösung für die kommende Kampagne.