تیم امنیتی Node.js با انتشار به‌روزرسانی‌های جدید برای شاخه‌های ۲۲، ۲۴ و ۲۶، آسیب‌پذیری‌های خطرناک DNS و گواهی TLS با سطح شدت بالا را برطرف کرد.
پروژه نود جی اس در پاسخ به کشف چندین نقطه ضعف امنیتی مهم، اقدام به انتشار نسخه‌های ۲۲٫۲۳٫۴، ۲۴٫۲۲٫۱ و ۲۶٫۱۲٫۱ نموده است. مهم‌ترین رخنه‌های شناسایی‌شده شامل نقص پردازش بایت تهی (NUL) در ماژول DNS و امکان دور زدن اعتبارسنجی نام میزبان در گواهی‌های TLS به کمک ارقام تمام‌پهنا در آدرس IP است. این رخنه‌ها در کنار ارتقای وابستگی‌های بنیادینی مانند OpenSSL، Undici و c-ares پوشش داده شده‌اند؛ از این رو ارتقای سریع سرویس‌ها برای مدیران سیستم و توسعه‌دهندگان بک‌اند الزامی است.
ضرورت ارتقای اضطراری بسته‌های اجرایی در اکوسیستم نود جی اس
امنیت زیرساخت‌های مبتنی بر جاوا اسکریپت و Run Time نود جی اس همواره یکی از ارکان ثبات سرویس‌های وب، میکروسرویس‌ها و سامانه‌های پردازش داده به شمار می‌رود. هرگونه اختلال یا رخنه امنیتی در ماژول‌های هسته این محیط می‌تواند دسترسی غیرمجاز، دور زدن دیوارهای امنیتی و یا اختلال در سرویس‌دهی (DoS) را برای سرورهای تولیدی در پی داشته باشد.
پروژه رسمی Node.js به‌تازگی سه به‌روزرسانی امنیتی مهم را برای شاخه‌های پرکاربرد ۲۲، ۲۴ و ۲۶ منتشر کرده است. بالاترین درجه شدت آسیب‌پذیری‌های گزارش‌شده در این بیانیه در رده بالا (High) ارزیابی شده است که مستلزم اقدام فوری مدیران سرور و تیم‌های DevOps برای ارتقای محیط‌های اجرایی و آزمایشی است.
جزئیات فنی آسیب‌پذیری‌های CVE-2026-105482 و CVE-2026-105483
تحلیل ساختاری کدهای اصلاح‌شده حاکی از وجود دو نقطه ضعف بسیار حساس در نحوه اعتبارسنجی ورودی‌ها در ماژول‌های شبکه نود جی اس است:
-
۱. نقص کاراکتر NUL در ماژول DNS (شناسه CVE-2026-105482):
این آسیب‌پذیری هر سه شاخه ۲۲، ۲۴ و ۲۶ را مستقیماً تحت تأثیر قرار می‌دهد. نقص موجود ناشی از پردازش نادرست نام‌های دامنه حاوی بایت تهی (NUL Byte) در متد dns.resolve است. وجود این ضعف می‌تواند رفتار متناقضی را میان کلاینت نود جی اس و سرورهای نام (DNS Resolverها) ایجاد کرده و زمینه را برای حملات مسموم‌سازی کش، جعل هویت دامنه یا دور زدن فیلترهای اعتبارسنجی URL فراهم آورد.
-
۲. دور زدن بررسی نام میزبان در TLS با ارقام تمام‌پهنا (شناسه CVE-2026-105483):
این نقص امنیتی در شاخه‌های ۲۴ و ۲۶ شناسایی شده است. در جریان اعتبارسنجی گواهی امنیتی TLS، چنانچه از ارقام کدگذاری‌شده به شیوه Fullwidth در ساختار آدرس‌های IP استفاده شود، منطق مقایسه آدرس میزبان با گواهی ارائه‌شده دچار خطا شده و امکان دور زدن فرآیند احراز هویت فراهم می‌گردد. این آسیب‌پذیری می‌تواند خطرات ناشی از حملات مرد میانی (MitM) را به شکل چشمگیری افزایش دهد.
ارتقای وابستگی‌های حیاتی؛ پایداری لایه شبکه و رمزنگاری
به‌روزرسانی‌های جدید تنها محدود به کدهای داخلی ران‌تایم نود جی اس نیستند، بلکه مجموعه‌ای از کتابخانه‌ها و وابستگی‌های حیاتی متصل به هسته را نیز نوسازی کرده‌اند:
-
کتابخانه OpenSSL: اصلاح باگ‌ها و بستن نقاط ضعف مرتبط با مدیریت حافظه و الگوریتم‌های تبادل کلید در لایه سوکت امن.
-
کلاینت Undici: اصلاح رفتار پردازش درخواست‌های HTTP/1.1 و HTTP/2 به منظور پیشگیری از حملات قاچاق درخواست (Request Smuggling).
-
کتابخانه c-ares: بهبود پایداری فرآیند تفکیک ناهمگام آدرس‌های شبکه در سطح سیستم‌عامل.
-
گواهی‌های ریشه CA: بازبینی و به‌روزرسانی زنجیره گواهی‌های معتبر بین‌المللی برای جلوگیری از پذیرش اتصالات مشکوک.
نسخه‌های اصلاح‌شده ارائه‌شده عبارت‌اند از:
-
شاخه ۲۲ به نسخه ۲۲٫۲۳٫۴ (22.23.4)
-
شاخه ۲۴ به نسخه ۲۴٫۲۲٫۱ (24.22.1)
-
شاخه ۲۶ به نسخه ۲۶٫۱۲٫۱ (26.12.1)
دستورالعمل‌های عملیاتی برای استقرار و نگهداری امن
برای حفظ سلامت سرویس‌های عملیاتی، سازمان‌ها و تیم‌های توسعه باید بدون فوت وقت اقدامات زیر را در دستور کار قرار دهند:
-
بررسی دقیق چرخه پیوسته CI/CD و ایمیج‌های داکر جهت جایگزینی پایه‌های قبلی با آخرین پچ‌های منتشرشده.
-
تست سازگاری ماژول‌های اختصاصی با نسخه‌های جدید جهت اطمینان از عملکرد روان فراخوانی‌های شبکه.
-
اعمال سیاست‌های اعتبارسنجی سفت‌وسخت بر روی ورودی‌های کاربر پیش از ارسال آن‌ها به ماژول‌های شبکه و تفکیک دامنه‌ها.
-
نظارت مداوم بر ترافیک اتصالات خروجی و بررسی لاگ‌های امنیتی سرورها برای شناسایی الگوهای نامتعارف.
نقش زیرساخت هاستینگ و سرورهای استاندارد در تاب‌آوری سرویس‌های پردازشی
حفظ امنیت و کارایی سرویس‌های نرم‌افزاری بدون تکیه بر زیرساخت‌های ابری و میزبانی پایدار، مهندسی‌شده و ایمن امکان‌پذیر نیست. اجرای روان و بدون وقفه پروژه‌های مبتنی بر هاست Node.js ، وب‌سرورها، میکروسرویس‌ها و پایگاه‌های داده، به پایداری شبکه دیتاسنتر، لایه‌های امنیتی توزیع‌شده، به‌روزرسانی مداوم گواهی‌های SSL و ایزولاسیون کامل منابع در سرورهای ابری وابسته است. هرگونه آسیب‌پذیری در پیکربندی شبکه یا اختلال در دسترسی به سرور می‌تواند حتی امن‌ترین کدهای نرم‌افزاری را با چالش‌های جدی و قطعی مواجه کند.
شرکت رادکام به عنوان یکی از پیشگامان ارائه خدمات میزبانی وب، سرورهای ابری، سرورهای اختصاصی، ثبت دامنه و راهکارهای امنیتی نظیر گواهی SSL، بستری امن، پرسرعت و پایدار را برای مدیران سیستم، توسعه‌دهندگان و کسب‌وکارهای آنلاین فراهم می‌سازد. رادکام با ارائه سرورهای بهینه‌سازی‌شده، پشتیبانی فنی تخصصی و زیرساخت ارتباطی قدرتمند، اطمینان خاطر لازم را برای استقرار، به‌روزرسانی مداوم و نگهداری امن اپلیکیشن‌های تحت وب در بالاترین سطح پایداری تضمین می‌نماید.