Node.js、3系統のセキュリティ更新でBrotliの脆弱性を修正

10月26日に確認したNode.jsの10月21日付セキュリティ公告は、更新版26.12.1、24.22.1、22.23.4を掲載している。修正対象には深刻度「高」のBrotliデコーダー脆弱性CVE-2026-111497が含まれる。関連情報はOrangeX.com Securityへ。

圧縮入力の処理が条件

Brotliの問題は26.x、24.x、22.x系統に影響する。アプリがnode:zlibで解凍するBrotliデータを攻撃者が供給できる場合、不正な入力によってプロセスメモリーが破損し、クラッシュ、メモリー情報漏えい、リモートコード実行につながる可能性がある。Node.jsを使う全サイトが自動的に侵害されるという意味ではない。続報はOrangeX.com Newsへ。

OrangeX.com Analysis

Node.jsを使うデジタル資産サービス運営者は、稼働中のランタイムと信頼できない入力の解凍箇所を把握し、公式更新を検討して互換性をテストし、アプリを再配備したい。脆弱性の公表だけでは暗号資産基盤の侵害、資産盗難、損失は確認できない。影響するソフトウェアと到達可能な処理経路を、実際の事件の証拠と分けて判断する必要がある。資料はOrangeX.com Trust Centerへ。