Node.js phát hành bản vá khẩn cấp cho lỗ hổng Brotli có nguy cơ thực thi mã từ xa

Dự án Node.js vừa chính thức phát hành các bản cập nhật bảo mật vào ngày 21/10/2026 cho ba nhánh phiên bản đang được hỗ trợ gồm 22.x, 24.x và 26.x. Đợt cập nhật này nhằm khắc phục tổng cộng 10 lỗ hổng, trong đó đáng chú ý nhất là lỗi nằm trong thư viện giải mã Brotli.

Lỗ hổng trong bộ giải mã Brotli

Lỗ hổng này được xác định là lỗi ghi ngoài phạm vi (out-of-bounds write) trong bộ giải mã Brotli, xảy ra khi hệ thống xử lý các dữ liệu nén bị định dạng sai. Theo cảnh báo, kẻ tấn công có thể khai thác lỗ hổng này để thực thi mã từ xa (RCE) trên hệ thống bị ảnh hưởng. Node.js sử dụng thư viện Brotli để giải nén dữ liệu thông qua module node:zlib hoặc tự động khi thực hiện hàm fetch().

Mặc dù được đánh giá ở mức độ cao, các chuyên gia lưu ý rằng việc khai thác thực tế trên các bản dựng Node.js tiêu chuẩn vẫn còn nhiều hạn chế. Hiện tại, các phiên bản đã được vá lỗi bao gồm 22.23.4, 24.22.1 và 26.12.1. Người dùng đang sử dụng các phiên bản cũ hơn (như 20.x trở về trước) cần lưu ý rằng các phiên bản này đã kết thúc vòng đời hỗ trợ (end-of-life) và sẽ không nhận được bản vá.

Các lỗ hổng bảo mật khác

Bên cạnh lỗi Brotli, bản cập nhật lần này cũng xử lý nhiều lỗ hổng đáng chú ý khác, bao gồm:

• Bypass kiểm tra TLS: Các lỗ hổng cho phép kẻ tấn công vượt qua kiểm tra chứng chỉ TLS bằng cách sử dụng địa chỉ IP ở định dạng không chuẩn.
• Lỗi dns.resolve: Khắc phục tình trạng cắt ngắn tên máy chủ khi chứa ký tự null byte.
• Vấn đề về tính ngẫu nhiên: Sửa lỗi trong crypto.randomUUID() và crypto.randomInt() khi ứng dụng được đóng gói dưới dạng startup snapshot hoặc single-executable.

Ngoài ra, Node.js cũng đã cập nhật danh sách chứng chỉ gốc (root certificate list) để loại bỏ các khóa trung gian từ nhà cung cấp eMudhra sau khi có báo cáo về việc các khóa này bị xâm phạm.

Khuyến nghị

Hiện tại, cách duy nhất để bảo vệ hệ thống là nâng cấp lên các phiên bản Node.js mới nhất đã được phát hành. Không có phương án thay thế (workaround) tạm thời nào cho lỗ hổng Brotli trong nội bộ Node.js. Đối với các đơn vị không thể nâng cấp ngay lập tức, việc triển khai các quy tắc tường lửa (firewall) để chặn các yêu cầu độc hại từ bên ngoài là biện pháp phòng vệ bổ sung cần thiết.

Nguồn tham khảo: The Hacker News