Node.jsプロジェクトは11月11日（現地時間）、LTS版「Node.js 26.13.1」（コードネーム：Lithium）をリリースした。今回はセキュリティリリースで、重要度「High」7件、「Medium」6件、「Low」3件の脆弱性に対処している。
重要度Highの修正として、http2ではストリーム削除時のヘッダー解放、nghttp2に放棄されたストリームの検出、ソケット書き込み完了までのバッファ保持、保留中の書き込み中のストリーム保持を行った。tlsでは、リモートから到達可能なTLSサーバーのクラッシュを修正した。あわせて、セッションIDコンテキストのないmTLSでのセッション再開を無効化し、再ネゴシエーションやHRR、TLSセッション再開によるSNIの変更を禁止した。tls,httpでは、空の書き込みによるパーサーのネスト実行を防止した。
Medium以下では、http2のALTSVCバッファのオーバーフローを回避した。また、無効なプロキシURLエラーに含まれるプロキシ認証情報を秘匿し、https AgentのTLSポリシーキーを分離した。パーミッション機能では、再帰的なfs.watchで拒否された子孫が漏えいしないようにしたほか、ヒープスナップショットの出力先をチェックするようにした。
依存関係では、brotliが1.2.1、llhttpが9.4.4、sqliteが3.54.1、undiciが8.12.4に更新された。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
