INFO TEKNO> Node.js merilis patch keamanan 26.12.1, 24.22.1, dan 22.23.4 pada 21 Oktober 2026 untuk menambal sepuluh kerentanan, termasuk empat berstatus tinggi di DNS, TLS, dan dekoder Brotli.
Empat celah tinggi itu mengenai lookup DNS, verifikasi sertifikat TLS, dan dekompresi Brotli. Dampak paling serius adalah eksekusi kode jarak jauh (RCE) lewat dekoder Brotli.
Rilis ini juga menyasar penanganan koneksi HTTP, pemrosesan arsip ZIP, nilai acak yang berulang, dan pengecekan izin akses pada filesystem.
Di ketiga cabang yang masih didukung, risiko tertinggi yang Node.js cantumkan adalah tingkat keparahan tinggi.
CVE-2026-111497 menyerang dekoder Brotli di 26.x, 24.x, dan 22.x. Menurut pemberitahuan rilis, celah penulisan di luar batas ini membuka jalan bagi eksekusi kode jarak jauh.
Artinya, dekoder bisa menulis data ke luar area memori yang semestinya. Aplikasi yang mengolah konten Brotli dari sumber tak tepercaya perlu mendapat perhatian khusus saat patch direncanakan.
Pemberitahuan rilis tidak merinci kondisi pasti untuk eksploitasi. LinuxCompatible menilai pemicunya mudah karena fetch() dan Express 5 mendekompresi respons Brotli secara otomatis
Brandefense mencatat bahwa hingga 21 Oktober, Node.js belum melaporkan adanya eksploitasi.
Dua celah tinggi lainnya berkaitan dengan pencocokan nama host pada sertifikat TLS. CVE-2026-105483 meloloskan verifikasi nama host ketika alamat IP memakai angka lebar penuh, dan menyasar Node.js 26.x serta 24.x.
CVE-2026-106069 muncul pada nama host yang mengarah longgar ke sebuah alamat IP, dan berlaku di ketiga cabang. Keduanya menyangkut kecocokan sertifikat dengan tujuan koneksi yang dimaksud.
Celah tinggi keempat, CVE-2026-105482, membuat dns.resolve memotong nama berkarakter NUL di ketiga lini rilis. Aplikasi yang mengandalkan penanganan nama secara konsisten sebelum pencarian DNS patut waspada.
Perbaikan ini menyusul patch bypass autentikasi TLS Node.js sebelumnya, yang turut menambal perbedaan penanganan nama host dan verifikasi sertifikat.
Tiga celah tingkat sedang memperluas cakupan rilis. CVE-2026-105481 membuat soket keep-alive mengolah respons yang sudah tertulis sebelum permintaan pemicunya terkirim.
CVE-2026-106072 berupa validasi sertifikat yang keliru untuk nama host IPv4 nonstandar, sehingga nama sertifikat DNS bisa mengautentikasi titik akhir berbasis IP.
CVE-2026-106074 menyangkut data acak dalam cache pada snapshot startup dan aplikasi executable tunggal. Proses dari artefak tersebut bisa mengulang hasil crypto.randomUUID() dan crypto.randomInt().
Ketiga celah sedang itu berdampak pada cabang 26.x, 24.x, dan 22.x. Tabel berikut merangkum seluruh sepuluh CVE.
| ID CVE | Tingkat | Kerentanan | Versi terdampak |
|---|---|---|---|
| CVE-2026-105482 | Tinggi | dns.resolve memotong nama berkarakter NUL | 26.x, 24.x, 22.x |
| CVE-2026-105483 | Tinggi | Bypass verifikasi nama host TLS (IP angka lebar penuh) | 26.x, 24.x |
| CVE-2026-106069 | Tinggi | Bypass verifikasi nama host TLS (nama host mengarah longgar ke IP) | 26.x, 24.x, 22.x |
| CVE-2026-111497 | Tinggi | Penulisan di luar batas pada dekoder Brotli (RCE) | 26.x, 24.x, 22.x |
| CVE-2026-105481 | Sedang | Urutan permintaan dan respons HTTP keliru pada soket keep-alive | 26.x, 24.x, 22.x |
| CVE-2026-106072 | Sedang | Validasi sertifikat nama host IPv4 nonstandar keliru | 26.x, 24.x, 22.x |
| CVE-2026-106074 | Sedang | Nilai acak kriptografi berulang | 26.x, 24.x, 22.x |
| CVE-2026-106070 | Rendah | Kegagalan validasi ZIP mengembalikan byte tak tepercaya | 26.x |
| CVE-2026-106071 | Rendah | Akses sistem file lolos dari Model Izin | 26.x |
| CVE-2026-106073 | Rendah | fs.realpathSync melewati izin | 26.x, 24.x, 22.x |
Aaf Afiatna (Aura OS) adalah seorang WordPress Developer, Administrator IT, dan penggerak di balik infrastruktur berbagai portal media digital PT Arina Duta Sehati. Ia memiliki ketertarikan mendalam pada rekayasa sistem tingkat rendah, implementasi AI on-device, dan pengembangan proyek open-source seperti Neural Standby Kernel (NSK). Saat tidak sedang berurusan dengan server atau kode, ia aktif mengeksplorasi ekosistem Web3 dan berbagi wawasan melalui channel YouTube CryptoFansWorld.
Sumber: https://infotekno.net/patch-keamanan-nodejs-celah-brotli-tls/
