3月24日，Node.js安全團(tuán)隊(duì)一次性推送了覆蓋4個(gè)主版本線的更新包。6個(gè)漏洞里，有3個(gè)能讓進(jìn)程直接崩潰，1個(gè)能繞過(guò)權(quán)限隔離，還有1個(gè)藏著定時(shí)炸彈式的側(cè)信道風(fēng)險(xiǎn)。

對(duì)跑在生產(chǎn)環(huán)境的團(tuán)隊(duì)來(lái)說(shuō)，這組補(bǔ)丁的優(yōu)先級(jí)可能比功能迭代更高。

TLS回調(diào)的"漏網(wǎng)之魚"

CVE-2026-21637的修復(fù)并不徹底。那次補(bǔ)丁封住了ALPN和PSK回調(diào)的同步異常逃逸，但SNICallback被落下了。

當(dāng)SNICallback在處理意外輸入時(shí)拋出同步異常，這個(gè)錯(cuò)誤會(huì)繞過(guò)TLS的錯(cuò)誤處理機(jī)制，直接變成未捕獲異常把進(jìn)程砸停。

Node.js核心貢獻(xiàn)者M(jìn)atteo Collina提交了修復(fù)。安全研究員mbarbs報(bào)的案——這種"修一半留一半"的漏洞在大型代碼庫(kù)里不算罕見，但每次都讓人捏把汗。

類比的話：就像你給家里三扇窗裝了防盜網(wǎng)，漏了廚房那扇，小偷照樣能進(jìn)。

一個(gè)下劃線開頭的header名

第二個(gè)漏洞的觸發(fā)條件看起來(lái)有點(diǎn)刁鉆：請(qǐng)求里帶一個(gè)名叫__proto__的header，且代碼訪問(wèn)了req.headersDistinct。

但后果很干脆——TypeError，同步拋出，無(wú)法被error事件監(jiān)聽捕獲。想防住它，得給每個(gè)headersDistinct訪問(wèn)包try/catch。

問(wèn)題出在JavaScript的原型鏈污染。dest["__proto__"]解析到了Object.prototype而不是undefined，然后代碼試圖在非數(shù)組上調(diào)用.push()。

研究員yushengchen發(fā)現(xiàn)的這個(gè)坑，Collina同樣負(fù)責(zé)修復(fù)。對(duì)于依賴header解析的中間件生態(tài)，這算是顆埋在地毯下的釘子。

權(quán)限模型的"本地后門"

Node.js的Permission Model（權(quán)限模型）本意是給代碼沙箱化用的。加--permission啟動(dòng)，不配--allow-net，網(wǎng)絡(luò)操作就該被攔住。

但Unix Domain Socket（UDS，Unix域套接字）服務(wù)器操作漏掉了權(quán)限檢查。

結(jié)果是：被限制的代碼仍能創(chuàng)建本地IPC端點(diǎn)，跟同主機(jī)其他進(jìn)程偷偷通信。

RafaelGSS修了這個(gè)洞。報(bào)告者xavlimsg的測(cè)試用例說(shuō)明，網(wǎng)絡(luò)隔離的邊界在實(shí)現(xiàn)層面比文檔里模糊得多。

國(guó)際化域名的斷言炸彈

url.format()在處理畸形的國(guó)際化域名（IDN）時(shí)，會(huì)在原生代碼層觸發(fā)斷言失敗。不是拋JS異常，是直接崩進(jìn)程。

wooffie報(bào)的這個(gè)問(wèn)題，RafaelGSS修復(fù)。IDN的坑Node.js踩過(guò)不止一次，這次屬于字符驗(yàn)證和格式化之間的縫隙。

HMAC的計(jì)時(shí)側(cè)信道

最后一個(gè)值得細(xì)品。Node.js在HMAC簽名驗(yàn)證時(shí)用了非恒定時(shí)間比較，匹配字節(jié)越多，返回越快。

攻擊者如果能拿到高精度計(jì)時(shí)測(cè)量——比如共享物理機(jī)、或某些云環(huán)境的鄰居實(shí)例——理論上可以逐字節(jié)推斷出正確的HMAC值。

諷刺的是，Node.js codebase里本來(lái)就有恒定時(shí)間比較的原語(yǔ)，其他地方都在用。這次是純 oversight（疏漏），不是設(shè)計(jì)取舍。

panva修了這處。報(bào)告者x_probe的挖掘說(shuō)明，加密實(shí)現(xiàn)里的"漏網(wǎng)之魚"和TLS回調(diào)那個(gè)是同款毛病：有工具不用，等于沒工具。

HTTP/2的內(nèi)存泄漏（未完成）

原文對(duì)第六個(gè)漏洞的描述被截?cái)嗔耍惶岬?HTTP/2服務(wù)器在收到stream 0的WINDOW_UPDATE幀時(shí)"會(huì)發(fā)生內(nèi)存泄漏。Node.js安全公告的完整版本里應(yīng)該有細(xì)節(jié)。

4個(gè)版本線同時(shí)更新：25.x、24.x、22.x、20.x。20.x作為長(zhǎng)期支持版（LTS）的修復(fù)窗口還在，但維護(hù)期已經(jīng)進(jìn)入倒計(jì)時(shí)。

你的生產(chǎn)環(huán)境跑在哪個(gè)版本線上？權(quán)限模型有沒有實(shí)際啟用，還是只是文檔里的"支持特性"？