Uusin Node.js-haavoittuvuus

Tiivistelmä

Node.js julkaisi 21. lokakuuta 2026 tietoturvapäivitykset versioille 22, 24 ja 26. Julkaisun vakavin yksittäinen ongelma koskee Brotli-pakkausmuodon purkamista: virheellisesti muodostettu syöte voi saada Node.js:n kirjoittamaan sisäisen puskurin rajojen ulkopuolelle. Haavoittuvuus tunnetaan tunnisteella CVE-2026-111497, ja Node.js luokittelee sen korkean vakavuuden ongelmaksi. Tietyissä tilanteissa muistivirhe voi johtaa prosessin kaatumiseen, muistisisällön paljastumiseen tai etäkoodin suorittamiseen. Node.js:n tietoturvatiedote

Mitä Brotli-haavoittuvuudessa tapahtuu?

Brotli on tiedonpakkausmuoto, jota käytetään esimerkiksi verkkoliikenteessä ja muissa sovelluksissa siirrettävän datan pienentämiseen. Node.js tarjoaa pakkaamiseen ja purkamiseen zlib-moduulin, johon kuuluu myös Brotli-tuki. Ongelma syntyy, kun sovellus purkaa hyökkääjän hallitsemaa Brotli-dataa kyseisen rajapinnan kautta.

Haavoittuvuuden taustalla on virheellinen tilankäsittely dekooderissa. Tietyssä virhetilanteessa purkaja tulkitsi virheellisen lohkosiirtymän merkiksi siitä, että syötettä tarvitaan vielä lisää. Sen olisi pitänyt ilmoittaa, että data on vioittunutta. Kun sovellus jatkoi datan syöttämistä, sitä päätyi dekooderin vain kahdeksan tavun kokoiseen sisäiseen puskuriin sen rajojen yli. Näin muisti voi vioittua.

Tämä ei tarkoita, että jokainen Node.js-palvelin olisi automaattisesti haavoittuva samalla tavalla. Hyökkääjän täytyy saada sovellus käsittelemään hänen toimittamaansa virheellistä Brotli-syötettä haavoittuvalla dekooderilla. Käytännössä riski riippuu siis siitä, mitä palvelu vastaanottaa ja miten se purkaa dataa. Jos sovellus ei pura ulkopuolelta tulevaa Brotli-dataa, juuri tämän haavoittuvuuden hyväksikäytön mahdollisuus voi olla rajatumpi. Tietoa käsittelevä sovellus ei silti voi olettaa kaiken syötteen olevan luotettavaa.

Mihin hyökkäys voi vaikuttaa?

Muistialueen ulkopuolelle kirjoittaminen on vakava ohjelmointivirhe, koska se voi sotkea prosessin käyttämää dataa. Seurauksena voi olla palvelun kaatuminen ja käyttökatko. Joissakin olosuhteissa muistivirhe voi myös paljastaa prosessin muistissa ollutta tietoa tai mahdollistaa koodin suorittamisen palvelimella. Node.js:n tiedotteen mukaan etäkoodin suorittaminen on mahdollinen seuraus, jos hyökkääjä pystyy syöttämään sovellukselle sopivaa Brotli-dataa, jonka sovellus purkaa.

Käytännön vaikutus riippuu sovelluksen rakenteesta. Esimerkiksi tiedostonlatauspalvelu, välityspalvelin, API tai muu datankäsittelypalvelu voi olla alttiimpi, jos se hyväksyy pakattuja syötteitä ulkopuolisilta käyttäjiltä ja purkaa ne Node.js:n Brotli-toteutuksella. Toisaalta haavoittuvuuden olemassaolo Node.js-asennuksessa ei yksin todista, että sovellukseen pääsee hyökkäämään verkon yli. Arvioinnissa pitää tarkistaa sekä käytetty versio että sovelluksen todellinen datankäsittelypolku.

Palvelun omistajan kannattaa selvittää, missä kohtaa Brotli-data puretaan, mistä data tulee ja voiko lähettäjä vaikuttaa sen sisältöön. Huomiota kannattaa kiinnittää myös riippuvuuksiin: sovelluskehys tai muu kirjasto saattaa purkaa dataa sovelluksen puolesta. Silloin koodista ei välttämättä löydy suoraa node:zlib-kutsua, vaikka purkaminen tapahtuu taustalla.

Lokakuun päivityksessä korjattiin muitakin ongelmia

Brotli-virhe oli yksi 21. lokakuuta julkaistun tietoturvapäivityksen ongelmista. Samassa julkaisussa korjattiin muun muassa DNS-nimien käsittelyyn sekä TLS-varmenteiden tarkistamiseen liittyviä puutteita. DNS-haavoittuvuus CVE-2026-105482 koskee NUL-tavun sisältäviä nimiä, jotka saatettiin katkaista huomaamatta. Jos sovellus tarkistaa verkkotunnuksen sallittujen nimien luettelosta ja ratkaisee sen sitten DNS-funktiolla, katkaisu voi johtaa siihen, että ratkaistava nimi on eri kuin tarkistettu nimi.

TLS-korjauksissa puolestaan käsitellään IP-osoitteiden poikkeavia kirjoitusasuja. Tietyissä tilanteissa palvelimen varmenne voitiin hyväksyä eri osoitteelle kuin sille, johon yhteys tosiasiassa muodostettiin. Tällaiset ongelmat ovat merkityksellisiä sovelluksille, jotka tekevät yhteyksiä käyttäjän antamiin osoitteisiin tai muuten päättävät kohteen luotettavuudesta nimen perusteella.

Päivityksessä korjattiin myös muun muassa HTTP-yhteyksien uudelleenkäyttöön, kryptografisten satunnaisarvojen välimuisteihin ja käyttöoikeusmalliin liittyviä virheitä. Kokonaisuus on hyvä muistutus siitä, että Node.js:n tietoturvapäivitys voi korjata useita toisistaan riippumattomia ongelmia. Vaikka oma sovellus ei käyttäisi Brotli-purkua, se voi silti hyötyä saman päivityksen muista korjauksista.

Tarkista käytössä oleva Node.js-versio

Node.js:n tiedotteessa korjatuiksi versioiksi ilmoitetaan 22.23.4, 24.22.1 ja 26.12.1. Tarkista ensin palvelimella ja kehitysympäristöissä käytössä olevat versiot komennolla:

node --version

Komento kertoo sen Node.js-version, johon kyseinen komentoriviympäristö osoittaa. Palvelimella voi olla useita versioita tai eri käyttäjille määritettyjä asennuksia, joten tarkistus kannattaa tehdä myös sovelluksen varsinaisessa suoritusympäristössä. Konttikäyttöönotossa tarkista lisäksi Docker-kuvan tai muun käyttöönottopaketin määrittämä Node.js-versio.

Päivitä käytössä oleva versio tuettuun, tietoturvakorjauksen sisältävään julkaisuun. Valitse päivityshaara sen mukaan, mitä versiota projekti tukee. Node.js:n lokakuun tiedote kattaa 22.x-, 24.x- ja 26.x-julkaisulinjat; vanhemmat, elinkaarensa päässä olevat Node.js-versiot eivät saa vastaavia tietoturvapäivityksiä. Jos sovellus on jäänyt vanhalle pääversiolle, pelkkä riippuvuuksien päivittäminen ei korjaa itse Node.js-ajoympäristön virhettä.

Näin viet päivityksen tuotantoon

Ennen tuotantopäivitystä tarkista projektin Node.js-versiovaatimus ja varmista, että käyttämäsi kirjastot tukevat valittua versiota. Aja sovelluksen normaali laadunvarmistus, kuten rakennus ja keskeiset toimintotarkistukset, ensin testiympäristössä. Kiinnitä huomiota erityisesti tiedostojen lataamiseen, pakatun datan käsittelyyn ja ulkoisiin HTTP-pyyntöihin, jos ne ovat osa palvelua.

Varmista käyttöönoton jälkeen, että tuotannossa todella pyörii päivitetty Node.js-versio. Pelkkä paikallisen kehityskoneen päivitys ei auta palvelua, jos tuotanto käyttää omaa konttikuvaa tai hallintapaneelin valitsemaa ajonaikaista versiota. Uusi konttikuva täytyy rakentaa ja ottaa käyttöön, ja palvelinprosessi voi vaatia uudelleenkäynnistyksen ennen kuin uusi versio tulee käyttöön.

Jos päivitystä ei saada heti tehtyä, selvitä tilapäisesti, voiko sovellus rajata epäluotetun Brotli-datan vastaanottoa tai purkamista. Tällainen rajaus voi pienentää altistumista, jos se sopii sovelluksen toimintaan, mutta se ei korvaa haavoittuvan Node.js-version päivittämistä. Älä myöskään päättele suojautumista siitä, ettei sovellus itse mainitse Brotliä: purkaminen voi tapahtua kirjastossa tai välityspalvelimessa.

Miten haavoittuvuustiedotteita kannattaa seurata?

Node.js:n tietoturvatiedotteet julkaistaan projektin virallisessa kanavassa. Ylläpitäjien kannattaa seurata niitä osana säännöllistä päivitysrutiinia ja pitää kirjaa siitä, mitä Node.js-versioita käytetään kehityksessä, testauksessa ja tuotannossa. Versionhallintaan tallennettu versiomääritys auttaa toistamaan ympäristön, mutta tuotantopalvelun toteutunut versio pitää silti tarkistaa erikseen.

CVE-tunniste helpottaa saman haavoittuvuuden tunnistamista eri työkaluissa ja tietoturvaraporteissa. Vakavuusluokka puolestaan antaa suuntaa kiireellisyydelle, mutta ei yksin kerro oman sovelluksen riskistä. Arvioi sen rinnalla, onko haavoittuva toiminto käytössä, käsitteleekö se hyökkääjän hallitsemaa dataa ja onko palveluun pääsy mahdollista ulkoverkosta.

Lokakuun 2026 julkaisun tärkein käytännön ohje on päivittää tuettuun korjattuun versioon. Brotli-haavoittuvuus on vakava, koska muistivirhe voi johtaa muutakin kuin palvelukatkoon, mutta altistuminen riippuu siitä, miten sovellus purkaa pakattua dataa. Kun versiot, riippuvuudet ja käyttöönotto tarkistetaan järjestelmällisesti, ylläpitäjä pystyy rajaamaan riskin ja varmistamaan, että korjaukset ovat todella käytössä.

Liittyvät kategoriat

Artikkeleita 2 051 artikkelia IT 1 977 artikkelia Verkkokehitys 1 295 artikkelia Verkkotyökalu 1 208 artikkelia

Usein kysytyt kysymykset

1. Mikä on uusin Node.js:ään liittyvä vakava haavoittuvuus?

Node.js:n 21. lokakuuta 2026 julkaistussa tietoturvapäivityksessä korjattiin muun muassa Brotli-dekooderin virhe CVE-2026-111497. Se voi aiheuttaa muistivirheen, kun sovellus purkaa virheellistä Brotli-dataa. Node.js luokittelee haavoittuvuuden korkean vakavuuden ongelmaksi.

2. Mitä Brotli tekee?

Brotli on tiedonpakkausmuoto, jolla pienennetään esimerkiksi verkkoliikenteessä siirrettävän datan kokoa. Node.js tukee Brotlin purkamista zlib-moduulin kautta.

3. Miten haavoittuvuutta voidaan yrittää hyödyntää?

Hyökkääjän pitäisi saada sovellus käsittelemään hänen toimittamaansa virheellistä Brotli-dataa haavoittuvalla dekooderilla. Haavoittuvuus voi silloin vioittaa muistia. Mahdollinen vaikutus riippuu sovelluksen käyttötavasta ja ympäristöstä.

4. Mitä seurauksia muistivirheellä voi olla?

Node.js:n mukaan seurauksena voi olla prosessin kaatuminen, muistisisällön paljastuminen tai etäkoodin suorittaminen. Haavoittuvuuden löytyminen ei kuitenkaan yksin tarkoita, että jokaiseen Node.js-palveluun voisi hyökätä verkon kautta.

5. Mitkä Node.js-versiot ovat haavoittuvia?

Tietoturvatiedotteen mukaan CVE-2026-111497 koskee versioita 22.x, 24.x ja 26.x. Myös elinkaarensa päättäneet versiot voivat olla alttiita, mutta niille ei välttämättä ole saatavilla korjauspäivitystä.

6. Mitkä versiot sisältävät korjauksen?

Node.js:n ilmoittamat korjatut versiot ovat 22.23.4, 24.22.1 ja 26.12.1. Tarkista aina oman julkaisulinjasi ajantasainen versio Node.js:n virallisista julkaisutiedoista.

7. Miten tarkistan, mikä Node.js-versio on käytössä?

Aja sovelluksen suoritusympäristössä komento node --version. Tarkista myös tuotantopalvelin ja mahdolliset kontit: kehityskoneen päivitys ei automaattisesti päivitä muualla ajettavaa sovellusta.

8. Riittääkö Brotli-tuen poistaminen korjaukseksi?

Se voi rajata altistumista, jos sovellus ei enää pura ulkopuolista Brotli-dataa. Se ei kuitenkaan korvaa Node.js:n päivittämistä, sillä samassa tietoturvajulkaisussa korjattiin myös muita haavoittuvuuksia.

9. Korjasiko päivitys muitakin ongelmia?

Kyllä. Samassa julkaisussa korjattiin muun muassa DNS-nimien käsittelyyn, TLS-varmenteiden tarkistamiseen, HTTP-yhteyksien uudelleenkäyttöön ja käyttöoikeusmalliin liittyviä ongelmia. Siksi päivitys kannattaa asentaa, vaikka sovellus ei käyttäisi Brotli-purkamista.

10. Mitä ylläpitäjän kannattaa tehdä nyt?

Tarkista käytössä oleva Node.js-versio, päivitä tuettuun korjattuun versioon ja varmista käyttöönoton jälkeen, että palvelu käyttää sitä. Selvitä lisäksi, käsitteleekö sovellus tai sen riippuvuudet käyttäjiltä tulevaa pakattua dataa. Node.js:n julkaisutiedoista voi seurata päivityksiä ja myöhempiä tietoturvatiedotteita.