Node.js セキュリティ アップデートは 11 月 11 に予定されています

#修正内容を推測せずにアナウンスに従ってください

発表された日付はまだリリース期間です。 11 月 11 のメンテナンスを準備しても、特定の時間にパッケージが利用可能になるわけではありません。デプロイするバイナリまたはイメージを選択するときは、更新されたアドバイザリとリリース ノートを確認してください。

まだ悪用シナリオを説明したり、このキャンペーンに CVE 識別子を割り当てたりすることはできません。また、現在のバージョンのみに基づいて、公開されていない詳細からアプリケーションが保護されていることを宣言することもできません。重大度が高い場合は、修正が利用可能になった後に正確な範囲が確認されるため、真剣な準備が必要です。

Node.js 11 月の公式発表

#10 月の修正は引き続き利用可能なベースラインです

21 10 月のキャンペーンでは、すでに次のリリースが公開されています: 22.23.4, 24.22.1 および 26.12.1. 11 月のアドバイザリを待っても、アプリケーションですでに利用可能な修正を適用する必要性がなくなるわけではありません。

フランス現地時間で 11 月 5 に完了したメンテナンス中に実行された PRNext 実行ファイル監査では、サービス内に Node.js 24.22.1 が見つかり、5 つのコンテナーがチェックされました。検証された同期タスクでは 22.23.4. が使用されています。この監査では、Node.js を置き換えることなく、使用されているランタイムが特定されました。

バージョン 24.22.2 も利用できます。 28 10 月リリース ノートでは、V8 の変更やストリームの非同期コンテキスト処理を含むメンテナンスについて説明しています。これは 11 月に発表されたセキュリティ修正ではなく、今回の監査中にインストールされませんでした。

#実際にアプリケーションを提供する Node.js を見つけます

端末はサービスから異なるバージョンを報告できます。プロセス マネージャーは、古いバイナリへの絶対パスを保持できます。コンテナには独自のイメージがありますが、スケジュールされたタスクでは引き続き別のインタープリタが使用される場合があります。ターミナル ランタイムを更新しても、これらの実行可能ファイルは自動的に置き換えられません。

各プロセスをそのスタートアップ コンフィギュレーションおよび実行可能ファイルに接続します。コンテナーの場合は、コンテナー内のバージョンを確認し、正確なイメージ参照を保持します。サービスの場合は、展開後に開始されたプロセスも検査します。次のコマンドは、現在のターミナルで起動されたプロセスのみを記述します。これらはそのインベントリの開始点となります。

node --version
node -p "process.execPath"

#導入とリカバリを一緒に準備する

リリースが公開されたら、サポートされているリリース ラインの修正を選択し、サーバー向けの同じアーティファクトを検証します。現在のリリース ライン内でセキュリティ修正を適用すると、独自の互換性作業が必要となるメジャー バージョンの移行とは別にこの介入が行われます。

配布方法またはネイティブの依存関係で必要な場合は再構築します。起動、認証、アプリケーションの読み取りと書き込み、外部接続、および実際に使用されるストリーミング パスをテストします。置き換え後、新しいプロセスとコンテナのバージョンを確認し、エラーと再起動を監視します。

現在のデータと互換性のあるコードとイメージの回復戦略を維持します。以前のアーティファクトに戻ると、脆弱なランタイムが再び導入される可能性があるため、その構成を把握しておく必要があります。実行時の変更を元に戻すために古いデータベースを復元すると、書き込みが破棄される可能性があるため、この操作の範囲外となります。

#npm アップデートはランタイムを置き換えません

PRNext、Node.js ランタイム、およびサーバー オペレーティング システムには個別の更新サイクルがあります。新しい PRNext バージョンをインストールしても、実行中のサービスのバイナリや既存のコンテナ イメージは置き換えられません。

次のチェックポイントは、11 月 11 頃に更新された Node.js 勧告です。介入を完了するには、修正されたバージョンが実際に実行され、アプリケーションの実行が検証される必要があります。この記事では、11 月 5 時点の準備状況を記録します。今後のキャンペーンの修正を確認するものではありません。