Node.js corrige fallos graves de TLS y Brotli en sus ramas 26, 24 y 22
Una al día (Hispasec) · 23 oct, 10:01
Node.js publicó el 21 de octubre de 2026 actualizaciones de seguridad para las ramas 26.x, 24.x y 22.x que corrigen vulnerabilidades de severidad alta en validación TLS, decodificador Brotli y dependencias críticas como OpenSSL y Undici. Las fallos incluyen bypass de verificación de certificados, posible ejecución remota de código en Brotli y problemas en funciones criptográficas que afectan a servicios expuestos a Internet.
El lote de parches aborda múltiples vectores de ataque en componentes sensibles. En validación TLS, se corrigen tres bypass distintos: CVE-2026-105483 (verificación fallida con IPs de ancho completo en 26.x y 24.x), CVE-2026-106069 (resolución laxa de host en las tres ramas) y CVE-2026-106072 (hostnames IPv4 no canónicos). Más crítico aún es CVE-2026-111497, una escritura fuera de límites en el decodificador Brotli que puede conducir a RCE.
Otros problemas relevantes incluyen CVE-2026-105481 (comportamiento anómalo con sockets keep alive), CVE-2026-105482 (truncamiento de nombres DNS con carácter NUL), y CVE-2026-106074 (reutilización de valores aleatorios en snapshots de arranque y SEAs en criptografía). El proyecto también actualiza dependencias vulnerables: c-ares y Undici en las tres ramas, OpenSSL en 24.x y 22.x, SQLite en 22.x, y certificados raíz por el incidente de compromiso de eMudhra. La recomendación es priorizar actualización en servicios perimetrales y revisar inventarios de contenedores.
Puntos clave
- Actualiza a versiones del 21 de octubre de 2026 en ramas 26.x, 24.x y 22.x, empezando por servicios expuestos a Internet
- Vulnerabilidad crítica en Brotli (CVE-2026-111497) permite RCE en flujos que procesan respuestas comprimidas
- Tres bypass distintos en validación TLS afectan a verificación de certificados; revisa configuraciones DNS no estándar
- Actualiza dependencias críticas: OpenSSL, Undici, c-ares, SQLite según rama
- Versiones fuera de soporte se consideran afectadas; migra a rama soportada siguiendo calendario oficial