Node.js atualizações de segurança esperadas em 11 novembro

#Siga o anúncio sem adivinhar a correção

A data anunciada continua sendo uma janela de lançamento. Preparar a manutenção para 11 novembro não significa que um pacote estará disponível em um horário específico. Verifique o comunicado atualizado e as notas de versão ao selecionar os binários ou imagens a serem implantados.

Ainda não podemos descrever um cenário de exploração ou atribuir um identificador CVE a esta campanha. Também não podemos declarar uma aplicação protegida contra detalhes que não tenham sido publicados apenas com base na sua versão atual. A gravidade ALTA justifica uma preparação séria, com o escopo preciso confirmado assim que as correções estiverem disponíveis.

o anúncio oficial Node.js de novembro

#As correções de outubro continuam sendo a linha de base disponível

A campanha 21 Outubro já possui lançamentos publicados: 22.23.4, 24.22.1 e 26.12.1. Aguardar a assessoria de Novembro não elimina a necessidade de aplicar correções já disponíveis para uma aplicação.

Nossa auditoria executável PRNext, realizada durante a manutenção concluída em 5 novembro no horário local francês, encontrou Node.js 24.22.1 nos serviços e cinco contêineres verificados. A tarefa de sincronização verificada usa 22.23.4. Esta auditoria identificou os tempos de execução em uso sem substituir Node.js.

A versão 24.22.2 também está disponível. Suas notas de lançamento 28 de outubro descrevem a manutenção, incluindo alterações da V8 e tratamento de contexto assíncrono de fluxo. Não é a correção de segurança anunciada para novembro e não foi instalada durante esta auditoria.

#Encontre o Node.js que realmente atende sua aplicação

Um terminal pode reportar uma versão diferente do serviço. Um gerenciador de processos pode reter um caminho absoluto para um binário mais antigo. Um contêiner possui sua própria imagem, enquanto uma tarefa agendada ainda pode usar outro intérprete. A atualização do tempo de execução do terminal não substitui automaticamente esses executáveis.

Conecte cada processo à sua configuração de inicialização e executável. Para um contêiner, verifique a versão dentro dele e guarde a referência exata da imagem. Para um serviço, inspecione também os processos iniciados após a implantação. Os comandos a seguir descrevem apenas o processo iniciado no terminal atual; eles fornecem um ponto de partida para esse inventário.

node --version
node -p "process.execPath"

#Preparar a implantação e a recuperação juntos

Depois que as versões forem publicadas, selecione a correção para sua linha de versão suportada e valide o mesmo artefato destinado ao servidor. A aplicação de uma correção de segurança na linha de lançamento atual mantém esta intervenção separada de uma migração de versão principal, que precisa de seu próprio trabalho de compatibilidade.

Reconstrua quando seu método de distribuição ou dependências nativas exigirem. Teste a inicialização, autenticação, leituras e gravações de aplicativos, conexões externas e os caminhos de streaming realmente usados. Após a substituição, verifique a versão nos novos processos e contêineres e monitore erros e reinicializações.

Mantenha uma estratégia de recuperação de código e imagem compatível com os dados atuais. Retornar a um artefato anterior também pode reintroduzir um tempo de execução vulnerável, portanto sua composição deve ser conhecida. Restaurar um banco de dados antigo para desfazer uma alteração no tempo de execução pode descartar gravações e está fora desta operação.

#Uma atualização npm não substitui o tempo de execução

PRNext, o tempo de execução de Node.js e o sistema operacional do servidor têm ciclos de atualização separados. A instalação de uma nova versão PRNext não substitui o binário de um serviço em execução ou uma imagem de contêiner existente.

O próximo ponto de verificação é o comunicado Node.js atualizado por volta de 11 novembro. A conclusão da intervenção exigirá então versões corrigidas em execução e jornadas de aplicativos verificadas. Este artigo registra a preparação em 5 novembro; não confirma uma correção para a próxima campanha.