圧縮の部品Brotliに重大な穴　Node.jsは今すぐ更新を

1本目は、ネットの通信で広く使われる圧縮の部品「Brotli」に見つかった穴です。

細工した圧縮データを解凍させるだけで、遠隔からメモリを壊せます。

深刻度は9.2で、ログインも要りません。

Node.jsは、zlibで解凍するアプリが対象だとして修正版を出しました。

見つけたのはOpenAIで、研究環境のレッドチーム演習の中で出てきたといいます。

根本の原因は2月にBrotliの側で直っていましたが、穴だとは知られず、新しい版も出ていませんでした。

OpenAIは「組み込んだソフトの側も更新が必要」と呼びかけています。

今日やることは、自分のサーバーで「node -v」を打って版を確かめることです。

22・24・26系なら修正版へ上げ、20以前ならサポート中の版へ移しましょう。

BunやEnvoyを使っている人も、更新が出ていないか見ておくと安心です。