Node.js phát hành bản vá cho 16 lỗ hổng, bao gồm các lỗi HTTP/2 gây sập server và rò rỉ dữ liệu

Dự án Node.js vừa chính thức phát hành các bản cập nhật bảo mật cho ba nhánh phiên bản được hỗ trợ, bao gồm 22.23.5, 24.22.3 và 26.13.1, nhằm giải quyết tổng cộng 16 lỗ hổng. Trong số này, có 7 lỗ hổng được đánh giá ở mức độ nghiêm trọng cao, chủ yếu tập trung vào các thành phần HTTP/2, HTTPS và TLS.

Các lỗ hổng HTTP/2 và HTTPS nguy hiểm

Đáng chú ý nhất là các lỗ hổng cho phép kẻ tấn công không cần xác thực có thể gây sập server hoặc chiếm đoạt dữ liệu từ bộ nhớ. Cụ thể:

• CVE-2026-123863: Lỗ hổng cho phép kẻ tấn công làm sập các server sử dụng HTTP/2 tích hợp sẵn trên các phiên bản 24.x và 26.x. Lỗi này có thể bị khai thác qua cả kết nối TLS và kết nối văn bản thuần.
• CVE-2026-123866: Lỗ hổng rò rỉ bộ nhớ, cho phép server vô tình gửi các phần dữ liệu trong bộ nhớ (bao gồm cả phản hồi dành cho các kết nối khác) đến client.
• CVE-2026-123864: Lỗ hổng trong các server HTTPS cho phép kẻ tấn công đọc dữ liệu từ bộ nhớ của các kết nối khác, bao gồm cả các khóa riêng tư (private keys) TLS và yêu cầu của người dùng khác.

Các lỗ hổng đáng chú ý khác

Ngoài các lỗ hổng trên, bản cập nhật còn xử lý nhiều vấn đề khác như:

• CVE-2026-123865: Cho phép client khiến server HTTP/2 chiếm dụng bộ nhớ và file descriptor vĩnh viễn.
• CVE-2026-123874: Lỗi gây hỏng bộ nhớ server khi xử lý các file thông qua stream.respondWithFile() hoặc stream.respondWithFD().
• CVE-2026-126051: Lỗ hổng làm sập server TLS khi sử dụng các hook như SNICallback hoặc server.addContext().
• CVE-2026-123872: Vấn đề liên quan đến việc xác thực chứng chỉ client trong quá trình tái thương lượng (renegotiation) TLS 1.2.

Khuyến nghị cho quản trị viên

Hiện tại, dự án Node.js không cung cấp giải pháp thay thế (workaround) nào cho các lỗ hổng này. Cách duy nhất để đảm bảo an toàn là cập nhật lên các phiên bản đã được vá lỗi nêu trên. Các phiên bản đã kết thúc vòng đời (end-of-life) như 20.x và 25.x sẽ không nhận được bản vá và được coi là luôn tồn tại rủi ro.

Người dùng được khuyến cáo kiểm tra phiên bản Node.js đang sử dụng và thực hiện nâng cấp sớm nhất có thể để tránh các nguy cơ bị khai thác trong tương lai.

Nguồn tham khảo: The Hacker News