Node.js vá 4 lỗ hổng nghiêm trọng, lỗi Brotli có thể dẫn đến thực thi mã từ xa

Dự án Node.js thông báo bản cập nhật bảo mật ngày 21 cho ba nhánh phiên bản 26.x, 24.x và 22.x. Phiên bản vá lần lượt là 26.12.1, 24.22.1 và 22.23.4.

Theo thông báo, Dự án Node.js công bố tổng cộng 10 lỗ hổng, gồm 4 lỗ hổng mức nghiêm trọng cao, 3 mức trung bình và 3 mức thấp. Phạm vi ảnh hưởng khác nhau theo từng nhánh phiên bản, nên người dùng cần tự kiểm tra xem phiên bản đang sử dụng có nằm trong danh sách bị ảnh hưởng hay không.

Node.js là môi trường chạy (runtime) cho phép thực thi JavaScript trên server, được dùng rộng rãi trong backend của các dịch vụ web và công cụ phát triển. Lỗi trong runtime có thể ảnh hưởng đến toàn bộ dịch vụ chạy trên đó.

Đáng chú ý nhất là lỗ hổng mức cao CVE-2026-111497. Đây là lỗi ghi ngoài vùng nhớ cho phép (out-of-bounds write) trong bộ giải mã (decoder) của 'Brotli' — một phương thức nén dữ liệu — và có thể dẫn đến 'thực thi mã từ xa' (RCE). Cả ba nhánh phiên bản đều bị ảnh hưởng. Thực thi mã từ xa nghĩa là kẻ tấn công có thể chạy lệnh do chúng tạo ra trên hệ thống nạn nhân từ xa.

Hai lỗ hổng mức cao còn lại liên quan đến cách xử lý ký tự null trong quá trình phân giải tên miền (DNS), và lỗi có thể bỏ qua bước xác minh tên máy chủ (hostname) của chứng chỉ TLS. Xác minh tên máy chủ là bước kiểm tra server đang kết nối có đúng là server được ghi trong chứng chỉ hay không.

Bản cập nhật lần này cũng sửa các vấn đề liên quan đến xử lý phản hồi của kết nối liên tục (persistent connection), trùng lặp bộ nhớ đệm số ngẫu nhiên, và mô hình quyền (permission model). Các thành phần đi kèm như c-ares, OpenSSL và Undici cũng được cập nhật.

Dự án Node.js lưu ý rằng các phiên bản đã hết hỗ trợ vẫn có thể bị ảnh hưởng bởi lỗ hổng bảo mật, và khuyến nghị người dùng chuyển sang phiên bản mới nhất còn được hỗ trợ. Do bản vá chỉ được phát hành cho ba nhánh nói trên, môi trường đang dùng phiên bản đã hết hỗ trợ sẽ khó nhận được bản vá chính thức nếu không nâng cấp nhánh.

Cảnh báo tương tự về môi trường chạy phía server trước đó cũng từng xuất hiện với PHP. PHP đã vá hai lỗ hổng nghiêm trọng cho phép thực thi mã từ xa mà không cần xác thực, với các phiên bản vá là 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Phía PHP khi đó đã kêu gọi người dùng nâng cấp ngay.

Hiện chưa có báo cáo hay công bố nào xác nhận các lỗ hổng lần này đã bị khai thác thực tế trên sàn giao dịch tiền mã hóa hay dịch vụ ví. Các đơn vị vận hành dịch vụ nên kiểm tra phiên bản Node.js đang sử dụng và đối chiếu với phiên bản vá tương ứng của nhánh đó.