Node.js 修复 10 个漏洞，包括 Brotli 远程代码执行与 TLS 主机名校验绕过问题

sec随谈
sec随谈

sec随谈

2026年10月22日 09:20
北京

去阅读

摘要

2026 年 10 月 21 日，Node.js 项目发布了 22.23.4、24.22.1 和 26.12.1 版本，修复了 10 个漏洞。此次 Node.js 安全更新修补了四个高危漏洞，其中包括一个被标注为\"可导致远程代码执行\"的 Brotli 解码器缺陷。此外，更新还移除了对已遭泄露的 eMudhra 证书的信任。

为什么这很重要

Node.js 支撑着无数 Web 服务器、API 及构建工具。三个高危漏洞削弱了 TLS 主机名校验机制，而该机制本应保护连接免受仿冒攻击。与此同时，Brotli 漏洞可能使精心构造的压缩数据在服务器上执行代码。

攻击方式

高危漏洞

• CVE-2026-111497：Brotli 解码器中的越界写入漏洞，可导致远程代码执行。
• CVE-2026-105483 与 CVE-2026-106069：通过非常规格式的 IP 地址可绕过 TLS 证书主机名校验。
• CVE-2026-105482：dns.resolve 在遇到包含 NUL 字符的域名时会被截断处理。

中低危漏洞

其他修复涉及 keep-alive 响应混淆、IP 证书校验强度不足，以及启动快照中随机值重复出现的问题。另有三个低危漏洞影响 ZIP 处理及 Permission Model（权限模型）。

eMudhra 证书清理

此次 Node.js 安全更新还更新了内置的 CA 证书库，移除了与 eMudhra 中间 CA 泄露事件相关的信任关系——该事件此前已被 Mozilla、Google 和 Apple 在 10 月 17 日至 19 日期间先后封禁。此举意味着 Node.js 应用程序将不再信任由这些已泄露密钥签发的证书。

利用现状

Node.js 团队未报告该漏洞已被实际利用，目前也没有公开的概念验证（PoC）得到证实。

受影响版本

这些漏洞影响 26.x、24.x 和 22.x 发行线，不过部分漏洞仅影响 26.x 或 24.x。

修补与缓解措施

• 升级至 Node.js 22.23.4、24.22.1 或 26.12.1。
• 更新内置依赖项，包括 c-ares、OpenSSL、SQLite 及 Undici。
• 重新构建打包为单一可执行文件或快照形式的应用程序。

完整详情参见 Node.js 2026 年 10 月安全更新 博文。鉴于存在远程代码执行风险，相关团队应尽快应用此次 Node.js 安全更新。

参考链接：

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases