Collecte à l'instant P-News

P3 · Modérée · Node.js

Node.js : exécution de code à distance — corrigée en 26.12.1, 22.23.4, 24.22.1

Multiples vulnérabilités dans Node

P3Modérée

Cycle de mise à jour mensuel

Pourquoi ce niveau : Gravité pas encore publiée : à requalifier dès que l'éditeur ou la NVD la donne.

À distanceGravité à qualifier

Ce qu'il faut faire

  1. Vérifier si vous êtes concerné

    Versions ou systèmes touchés :

    Node.js versions 26.x antérieures à 26.12.1

    Node.js versions 22.x antérieures à 22.23.4

    Node.js versions 24.x antérieures à 24.22.1

    node -v

  2. Corriger

    Versions corrigées : 26.12.1, 22.23.4, 24.22.1.

    Mettre à jour Node.js vers la version corrigée de sa branche (ou migrer si la branche est en fin de vie), reconstruire les images Docker, redémarrer les services.

    nvm install <version> && nvm alias default <version>
docker build --pull .

  3. En attendant le correctif

    Limiter l'exposition du service concerné tant que la mise à jour n'est pas faite.

  4. Contrôler

    node -v doit afficher la version corrigée, dans les conteneurs aussi.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

Description

De multiples vulnérabilités ont été découvertes dans Node.js. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et un problème de sécurité non spécifié par l'éditeur. Risques : Exécution de code arbitraire à distance, Non spécifié par l'éditeur, Contournement de la politique de sécurité.