Node.js: chyby HTTP/2 a HTTPS umožňujú klientom zrútiť servery a čítať údaje iných používateľov

Čo sa stalo

Dňa 11. novembra 2026 projekt Node.js zverejnil bezpečnostné vydania pre svoje tri podporované vetvy. Opravené verzie sú 22.23.5, 24.22.3 a 26.13.1. Opravujú 16 zraniteľností v samotnom Node.js, z ktorých sedem je hodnotených ako vysoké. Vydania tiež aktualizujú súčasti llhttp (22.x, 24.x, 26.x), undici (24.x, 26.x) a sqlite (22.x, 24.x).

Najdôležitejšie problémy sa týkajú serverového kódu, ktorý Node.js poskytuje priamo pre HTTP/2, HTTPS a TLS:

• Pád servera HTTP/2 (24.x a 26.x): ktorýkoľvek neautentifikovaný klient môže zastaviť proces Node.js. Server potrebuje len predvolené nastavenie HTTP/2 a obslužný kód, ktorý odpovie skôr, než sa celé telo požiadavky prijme. Projekt toto správanie označuje za typické. Útok funguje cez TLS aj cez nešifrované spojenia.
• Únik pamäte HTTP/2 (všetky tri vetvy): server môže klientovi poslať časti svojej pamäte vrátane odpovedí určených pre iné spojenia. Od verzií 24.22.0 a 26.9.0 môže klient túto chybu spustiť sám. Vo verziách 22.x a starších zostavách 24.x a 26.x sa môže stať, keď server ukončí stream uprostred odpovede, napríklad po vypršaní nečinnosti.
• Únik pamäte HTTPS (všetky tri vetvy): neautentifikovaný klient môže čítať pamäť iných spojení, „vrátane privátnych kľúčov TLS a požiadaviek iných používateľov“, podľa projektu. Vyžaduje to obslužný kód, ktorý zavolá res.flushHeaders() skôr, než sa skončí telo požiadavky, a neskôr zavolá res.end() s dátami. Na čítanie uniknutej pamäte potrebuje útočník aj trasu, ktorá vráti alebo uloží telo požiadavky.
• Vyčerpanie zdrojov HTTP/2 (všetky tri vetvy): klient môže donútiť ľubovoľný predvolený server HTTP/2 trvalo držať pamäť a deskriptory súborov.
• Poskytovanie súborov cez HTTP/2 (24.x a 26.x): klient môže poškodiť pamäť servera, keď server poskytuje súbory cez stream.respondWithFile() alebo stream.respondWithFD(). Vo všetkých troch vetvách môže zrušenie takýchto sťahovaní tiež zrútiť server (hodnotené ako stredné).
• Pád servera TLS (24.x a 26.x): klient môže zrútiť server TLS, ktorý používa háky SNICallback, OCSPRequest, newSession alebo resumeSession, prípadne server.addContext().
• Obídenie kontroly certifikátov klienta v TLS (všetky tri vetvy): niektoré servery uplatňujú prísnejšie pravidlá pre certifikáty klientov pri určitých názvoch hostiteľov. Na takýchto serveroch môže klient schválený pre iný názov hostiteľa počas opätovného vyjednávania TLS 1.2 prejsť na prísnejší názov bez splnenia jeho pravidiel.

Hlásenie neuvádza žiadne útoky využívajúce tieto chyby.

Kto je ohrozený

• Servery s Node.js 22.x pred 22.23.5, 24.x pred 24.22.3 alebo 26.x pred 26.13.1.
• Ukončené vetvy vrátane 20.x a 25.x v tomto vydaní opravu nedostanú. Projekt uvádza, že takéto verzie sú vždy ohrozené.
• Vážne problémy na strane servera sa týkajú len tam, kde proces Node.js sám prijíma spojenia HTTP/2, HTTPS alebo TLS. Príkladmi sú vstavané moduly node:http2, node:https alebo node:tls, prípadne rámce, ktoré ich používajú na ukončenie TLS alebo HTTP/2.
• Obyčajné servery HTTP postavené na node:http nie sú ohrozené únikom pamäte pri HTTPS.
• Pád servera HTTP/2 sa týka len vetiev 24.x a 26.x, nie 22.x.

Ste výrazne menej vystavení, ak reverzný proxy, napríklad nginx, Apache, HAProxy alebo load balancer, ukončuje TLS a HTTP/2 a Node.js od neho dostáva len prostý HTTP/1.1. Aj tak by ste mali aktualizovať, pretože vydanie obsahuje ďalšie opravy a aktualizácie závislostí.

Čo treba urobiť teraz

1. Nájdite všetky inštalácie Node.js. Nezabudnite na systémové balíky, správcov verzií (nvm, n, Volta), obrazy Docker, CI runnery a hostingové panely, ktoré prinášajú vlastný Node.js.
2. Aktualizujte na opravenú verziu vašej vetvy: 22.23.5, 24.22.3 alebo 26.13.1. Ak používate balíky distribúcie alebo dodávateľa (napríklad NodeSource alebo balíky vašej distribúcie Linuxu), nainštalujte aktualizáciu hneď, ako váš zdroj balíkov tieto verzie sprístupní.
3. Prejdite z ukončených verzií. Ak stále beháte 20.x, 25.x alebo staršie, prejdite na podporovanú vetvu. Hlásenie neuvádza žiadne dočasné riešenie pre servery, ktoré nemožno aktualizovať.
4. Znovu vytvorte obrazy kontajnerov s aktualizovaným základným obrazom Node.js a nasadťe ich znova. Samotná aktualizácia hostiteľa nezmení Node.js vnútri kontajnerov.
5. Reštartujte všetky procesy Node.js (jednotky systemd, PM2, kontajnery Docker a podobne), aby sa načítalo nové runtime. Potom overte, že vaše aplikácie reagujú normálne.
6. Zvážte obnovu tajomstiev, ak ste boli vystavení. Hlásenie neuvádza, či by servery, ktoré spĺňali podmienky úniku pamäte pri HTTPS, mali nahradiť kľúče TLS alebo iné tajomstvá. Ak váš server HTTPS s Node.js spĺňal tieto podmienky a bol dostupný z internetu, zvážte obnovenie jeho certifikátu TLS a kľúča.

Ako overiť, či ste ohrození

• Spustite node -v na každom serveri a vnútri každého kontajnera (docker exec <container> node -v). Verzie nižšie ako 22.23.5, 24.22.3 alebo 26.13.1 vo svojej vetve, alebo akákoľvek ukončená vetva ako 20.x či 25.x, sú ohrozené.
• Pri PM2 príkazy pm2 list a pm2 show <app> zobrazia, aký binárny súbor a verziu Node.js používa každá aplikácia.
• Skontrolujte, či vaše aplikácie ukončujú HTTP/2 alebo TLS priamo v Node.js: prehľadajte kód na výskyt http2.createSecureServer, http2.createServer, https.createServer, tls.createServer, respondWithFile, respondWithFD, SNICallback a addContext.
• Skontrolujte správcu procesov a systémové logy, či sa Node.js neReštartoval alebo nezrútil neočakávane. Opakované ukončenia servera HTTP/2 môžu naznačovať pokusy o vyvolanie pádu.

Zdroje

• https://thehackernews.com/2026/11/nodejs-fixes-16-flaws-including-http2.html