Multiples vulnérabilités de sévérité haute affectant Node.js (TLS, DNS et décompression Brotli)
Node.js a publié des mises à jour de sécurité pour toutes ses branches actives (26.x, 24.x et 22.x), corrigeant dix vulnérabilités dont quatre de sévérité haute. Le risque le plus important provient d'une écriture hors limites dans le moteur de décompression Brotli, pouvant conduire à une exécution de code à distance (RCE) lors du traitement de données compressées non fiables. D'autres vulnérabilités permettent de contourner la vérification du nom d'hôte des certificats TLS,...
Description
Contexte technique et détails de la vulnérabilité
Node.js est un environnement d'exécution JavaScript open source et multiplateforme, couramment utilisé en entreprise pour développer des applications réseau évolutives, des serveurs web, des microservices et des API back-end. Les mises à jour de maintenance de sécurité publiées corrigent dix vulnérabilités touchant l'environnement d'exécution et ses bibliothèques intégrées : CVE-2026-111497 (haute) : écriture mémoire hors limites dans le module de décompression Brotli, affectant Node.js 26.x, 24.x et 22.x. Un attaquant fournissant des données compressées Brotli spécialement conçues peut provoquer une corruption de la mémoire, pouvant conduire à une exécution de code arbitraire à distance ou à l'arrêt de l'application. CVE-2026-105483 (haute) : contournement de la vérification du nom d'hôte des certificats TLS lorsqu'une adresse IP contient des chiffres pleine chasse, affectant les branches Node.js 26.x et 24.x. CVE-2026-106069 (haute) : défaut de validation du nom d'hôte TLS impliquant des noms d'hôte résolus de manière approximative en adresse IP, affectant toutes les branches prises en charge (26.x, 24.x, 22.x) et permettant une usurpation de type homme du milieu. CVE-2026-105482 (haute) : la fonction dns.resolve tronque les noms de domaine contenant un caractère NUL, entraînant des incohérences de résolution de noms et des contournements de contrôles de sécurité sur toutes les branches. CVE-2026-105481 (moyenne) : défaut de gestion des connexions HTTP, une socket keep-alive pouvant traiter une réponse écrite avant la transmission de la requête correspondante. CVE-2026-106072 (moyenne) : validation incorrecte des certificats pour les noms d'hôte IPv4 non standard, permettant à des noms de certificats DNS d'authentifier des points de terminaison IP arbitraires. CVE-2026-106074 (moyenne) : répétition d'entropie dans les données aléatoires mises en cache au sein des instantanés de démarrage et des applications exécutables uniques (SEA), entraînant des valeurs répétées pour crypto.randomUUID() et crypto.randomInt(). CVE-2026-106070 (faible) : octets contrôlés par l'attaquant renvoyés après l'échec des contrôles d'en-tête d'archives ZIP dans Node.js 26.x. CVE-2026-106071 (faible) : accès excessif au système de fichiers accordé par la correspondance de motifs génériques dans le modèle de permissions expérimental de Node.js 26.x. CVE-2026-106073 (faible) : contournement des restrictions du modèle de permissions via fs.realpathSync sur toutes les branches prises en charge. Ces mises à jour intègrent également des versions corrigées des dépendances tierces embarquées, notamment OpenSSL, c-ares, Undici et SQLite, ainsi que des certificats d'autorités racines de confiance actualisés.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance via des données compressées Brotli spécialement conçues ;
- Contournement de la vérification des certificats TLS et de la validation des noms d'hôte ;
- Attaques de l'homme du milieu (MitM) contre les connexions HTTPS sortantes ;
- Usurpation de domaine et incohérences dans les résolutions DNS ;
- Prévisibilité cryptographique due à la répétition des sorties du générateur de nombres pseudo-aléatoires ;
- Accès non autorisé au système de fichiers et contournement du modèle de permissions ;
- Déni de service (DoS) et instabilité des applications.
Systèmes affectés
Produits, composants et versions concernés
- Node.js 26.x : versions antérieures à 26.12.1 ;
- Node.js 24.x : versions antérieures à 24.22.1 ;
- Node.js 22.x (LTS) : versions antérieures à 22.23.4 ;
- Toutes les branches de Node.js en fin de vie (comme 20.x, 18.x et antérieures), qui ne reçoivent plus de correctifs de sécurité.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour immédiatement Node.js vers les dernières versions corrigées : 26.12.1, 24.22.1 ou 22.23.4 selon la branche déployée ;
- Reconstruire et redéployer les images de conteneurs, fonctions serverless et dépendances d'exécution locales intégrant les versions corrigées ;
- Redémarrer l'ensemble des services, démons et microservices reposant sur Node.js ;
- Porter une attention particulière aux applications qui décompressent des données Brotli non fiables ou établissent des connexions TLS sortantes vers des points de terminaison externes ;
- Migrer les systèmes restants sur des branches en fin de vie (Node.js 20.x et antérieures) vers une branche LTS activement prise en charge (Node.js 22.x ou 24.x).
Sources & Liens externes
Avis constructeurs et bulletins de référence
- https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
- https://cybersecuritynews.com/node-js-releases-security-updates/
- https://nvd.nist.gov/vuln/detail/CVE-2026-111497
- https://nvd.nist.gov/vuln/detail/CVE-2026-105483
- https://nvd.nist.gov/vuln/detail/CVE-2026-106069
- https://nvd.nist.gov/vuln/detail/CVE-2026-105482
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.