// HEISE ONLINE — CYBERSECURITY
Node.js fixt eigene und geerbte Sicherheitslücken
Neue Versionen für Node.js 22.x, 24.x und 26.x fixen hochriskante Sicherheitslücken und schützen vor kompromittierten Zertifikaten von eMudhra.
Das Node.js-Projekt hat Sicherheitsupdates für alle noch unterstützten Release-Zweige der JavaScript-Laufzeitumgebung veröffentlicht. Neben Fehlerbehebungen für insgesamt zehn projekteigene Sicherheitslücken enthalten die Updates auch neue Versionen von Projekten wie OpenSSL oder SQLite, auf die Node.js aufbaut. Diese Aktualisierungen von Abhängigkeiten schließen ebenfalls Sicherheitslücken. Dazu zählt ein Update für den eingebauten Zertifikatsspeicher, das die kompromittierte Zertifizierungsstelle eMudhra blockiert. Zusätzlich enthält Node.js nun eine Liste blockierter Zwischenzertifikate und kann so TLS-Zertifikatsketten ablehnen, die gesperrte öffentliche Schlüssel enthalten, auch wenn dem Wurzelzertifikate noch vertraut wird.
Schon aufgrund des eMudhra-Debakels sind die Updates dringend, aber auch vier der behobenen Sicherheitslücken in Node.js werden mit dem Schweregrad „high“ bewertet. Zwei davon betreffen die Zertifikatsprüfung von TLS-Verbindungen, eine die Namensauflösung per DNS. Die vierte ermöglicht Angreifern, aus der Ferne Code auf dem Zielsystem auszuführen (remote code execution), indem sie Node.js’ Decoder für den Kompressionsalgorithmus Brotli aus dem Tritt bringen.
Node.js-Nutzer sollten zügig auf die Version 22.23.4, 24.22.1 oder 26.12.1 updaten, je nachdem, welchen Versionszweig sie nutzen. Alle anderen Release-Zweige werden nicht mehr unterstützt und das Node.js-Team weist explizit darauf hin, dass solche End-of-Life-Zweige (EOL) ebenfalls betroffen sind. Nutzer einer EOL-Version sollten dringend auf einen der unterstützten Release-Zweige wechseln.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.