Node.js พบช่องโหว่ร้ายแรง Brotli Decoder RCE (CVE-2026-111497) กระทบ 22.x/24.x/26.x
โดย
Node.js ออกอัปเดตความปลอดภัยเมื่อวันที่ 21 ตุลาคม 2026 สำหรับเวอร์ชัน 22.x, 24.x และ 26.x โดยช่องโหว่ที่รุนแรงที่สุดคือ CVE-2026-111497 ใน Brotli decoder
- ★รายละเอียดช่องโหว่
- ระดับความรุนแรง: สูง (High)
- ผลกระทบ: กระบวนการ Node.js ที่ถอดรหัสข้อมูล Brotli จากผู้โจมตีอาจทำให้ข้อมูลหน่วยความจำรั่วไหล หรือ รันโค้ดโดยพลการ (RCE)
- สาเหตุ: ข้อมูล Brotli ที่ผิดรูปแบบทำให้เกิด out-of-bounds write ระหว่างถอดรหัส
- การโจมตี: รันด้วยสิทธิ์ของกระบวนการ Node.js
- ★ช่องโหว่อื่นในรอบนี้
- รวม 9 รายการ
- มี TLS hostname verification bypass ระดับสูง 2 รายการ
- ★เวอร์ชันที่ต้องอัปเดต
- 22.23.4
- 24.22.1
- 26.12.1
⚠️ หมายเหตุ: Node.js 20.x หมดอายุแล้ว (EOL) → ไม่ได้รับแพตช์ต้องเปลี่ยนเป็น 22.x หรือ 24.x
- ★ใครได้รับผลกระทบ
- แอปที่ถอดรหัส Brotli จากข้อมูลที่ผู้โจมตีควบคุม (ใน request body หรือ response ที่ดึงมา)
- Node.js ไม่ได้ถอดรหัส Brotli เอง → ต้องมีโค้ด/ไลบรารีที่เรียกใช้
- ★การป้องกันจาก Vercel
- Vercel WAF บล็อกแพทเทิร์นการโจมตีที่รู้จักแล้ว (อัตโนมัติ ไม่มีค่าใช้จ่าย)
- แต่ไม่ครอบคลุม response ที่ฟังก์ชันดึงจากเซิร์ฟเวอร์อื่น
- ไม่แทนการแพตช์ต้องอัปเดต Node.js ด้วย
- ★สิ่งที่ต้องทำ
1) นอก Vercel (self-hosted, container, CI, local): อัปเดตเป็นเวอร์ชันที่แพตช์แล้วทันที
2) บน Vercel ที่ใช้ Node.js 20.x: เปลี่ยนเป็น 22.x หรือ 24.x แล้ว redeploy
3) Vercel ที่ใช้ 22.x/24.x: ไม่ต้องเปลี่ยนเวอร์ชัน (Vercel จัดการแพตช์ให้)
4) Container image: rebuild บน base image ที่แพตช์แล้ว
5) Self-hosted Next.js: อัปเดต Node.js (Next.js ไม่บล็อก Brotli response ในการ optimize รูป)
✏️ Shoper Gamer
Credit :
👇
- ●https://vercel.com/kb/bulletin/node-js-security-advisory
- 1
โฆษณา
- ดาวน์โหลดแอปพลิเคชัน
- © 2026 Blockdit
