Node.js espone memoria condivisa, non solo la disponibilità dei server
Node.js ha corretto 16 vulnerabilità nelle linee supportate 22.x, 24.x e 26.x; alcune consentono a client non autenticati di bloccare server HTTP/2 o leggere memoria appartenente ad altre connessioni.
Una richiesta HTTP/2 o HTTPS può far restituire al client frammenti di memoria che non gli appartengono: risposte di altri utenti e, in alcuni casi, chiavi private TLS. Non si tratta quindi soltanto di server che smettono di rispondere: nello stesso processo possono coesistere dati di più utenti, esposti durante la normale gestione delle richieste.
Le correzioni sono Node.js 22.23.5, 24.22.3 e 26.13.1. Le linee 20.x e 25.x, fuori supporto, non ricevono correzioni in questo rilascio. Per i servizi aggiornati, l'impatto può riguardare la riservatezza di dati e chiavi, non solo la disponibilità.