Bug 61190

Summary:	Обновить node до 22.23.4: исправления CVE (dns, TLS, HTTP keep-alive и др.)
Product:	Sisyphus	Reporter:	Vitaly Lipatov <lav>
Component:	node	Assignee:	Vitaly Lipatov <lav>
Status:	RESOLVED FIXED	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	lav
Version:	unstable
Hardware:	all
OS:	Linux
Bug Depends on:	61186, 61189
Bug Blocks:

Description

Vitaly Lipatov 2026-10-23 10:25:06 MSK

Обновление пакета node до Node.js 22.23.4 (LTS), security-релиза от 21 октября 2026 года.

Для ветки 22.x исправлены:
- CVE-2026-111497 (High): запись за границы буфера в декодере Brotli, допускающая удалённое выполнение кода.
- CVE-2026-105482 (High): усечение имён с NUL в dns.resolve.
- CVE-2026-106069 (High): обход проверки имени узла TLS при неоднозначной интерпретации IP-адреса.
- CVE-2026-105481 (Medium): обработка HTTP keep-alive соединением ответа, поступившего до отправки запроса.
- CVE-2026-106072 (Medium): некорректная проверка сертификата для неканонического IPv4, позволяющая DNS SAN аутентифицировать IP-узел.
- CVE-2026-106074 (Medium): сохранение кэшей энтропии randomUUID/randomInt в snapshots и SEA с повторением значений между процессами.
- CVE-2026-106073 (Low): обход Permission Model через fs.realpathSync.

Обновление должно включать исправления зависимостей. Upstream обновил c-ares до 1.34.9, OpenSSL до 3.5.9, SQLite до 3.53.4, Undici до 6.29.1 и корневые сертификаты до NSS 3.131.1, а также включил исправление Brotli. При использовании системных библиотек необходимо обеспечить соответствующие исправления и явно указать требуемые версии в BuildRequires/Requires пакета node.

Comment 1

Vitaly Lipatov 2026-10-28 18:59:26 MSK

22 октября 2026 г. Vitaly Lipatov 22.23.4-alt1
- new version 22.23.4
- require c-ares 1.34.9 (was 1.34.6) and libbrotli-devel 1.2.1.
- require openssl-devel 3.5.9 (was 3.0.15).
- fixes:
  + CVE-2026-105481: Node.js releases include security fixes.
  + CVE-2026-105482: Node.js releases include security fixes.
  + CVE-2026-106069: Node.js releases include security fixes.
  + CVE-2026-106072: Node.js releases include security fixes.
  + CVE-2026-106073: Node.js releases include security fixes.
  + CVE-2026-106074: Node.js releases include security fixes.
  + CVE-2026-111497: Node.js releases include security fixes.