Node.js vá 16 lỗ hổng bảo mật nghiêm trọng: Nguy cơ rò rỉ khóa riêng tư TLS

• Cập nhật khẩn cấp: Node.js đã phát hành các phiên bản vá lỗi v22.23.5, v24.22.3 và v26.13.1 để khắc phục 16 lỗ hổng bảo mật.
• Rủi ro nghiêm trọng: Lỗ hổng CVE-2026-123864 cho phép kẻ tấn công đọc bộ nhớ heap, bao gồm cả các khóa riêng tư TLS nhạy cảm.
• Tấn công HTTP/2: Nhiều lỗ hổng trong giao thức HTTP/2 cho phép kẻ tấn công từ xa làm sập máy chủ hoặc gây cạn kiệt tài nguyên bộ nhớ.
• Khuyến nghị: Người dùng cần cập nhật ngay lập tức và cân nhắc thay thế các khóa TLS nếu hệ thống đã bị phơi nhiễm.

Dự án Node.js vừa công bố bản cập nhật bảo mật quan trọng cho các dòng phiên bản 22.x, 24.x và 26.x nhằm giải quyết 16 lỗ hổng bảo mật. Trong số đó, có 7 lỗ hổng được xếp hạng nghiêm trọng (High), 6 lỗ hổng mức trung bình (Medium) và 3 lỗ hổng mức thấp (Low). Các bản vá này không chỉ sửa lỗi logic mà còn cập nhật các thành phần đi kèm như llhttp, undici và sqlite.

Phân tích lỗ hổng rò rỉ bộ nhớ nghiêm trọng

Lỗ hổng đáng chú ý nhất là CVE-2026-123864, ảnh hưởng trực tiếp đến mã nguồn HTTPS trong tất cả các phiên bản bị ảnh hưởng. Đây là một lỗi Use-After-Free (UAF) kết hợp với Out-of-Bounds Read, phát sinh từ vấn đề tái nhập (re-entry) khi thực hiện ghi TLS có độ dài bằng 0.

Cơ chế khai thác xảy ra khi một thao tác ghi TLS zero-length khiến Node.js giải mã bản ghi tiếp theo trong khi trình phân tích HTTP vẫn đang đọc phần thân (body) của yêu cầu. Điều này dẫn đến việc máy chủ sao chép dữ liệu cũ từ bộ nhớ heap vào phần thân yêu cầu, cho phép kẻ tấn công không cần xác thực có thể đọc được các khóa riêng tư TLS và dữ liệu yêu cầu của người dùng khác.

⚠️ Cảnh báo quan trọng: Các máy chủ sử dụng trình xử lý gọi res.flushHeaders() sớm và kết thúc bằng một chunk không rỗng có nguy cơ cao bị khai thác. Hãy kiểm tra kỹ cấu hình ứng dụng của bạn.

Tổng hợp các lỗ hổng HTTP/2 và thực thi từ xa

Phần lớn các lỗ hổng trong đợt cập nhật này tập trung vào giao thức HTTP/2. Dưới đây là bảng chi tiết các lỗ hổng chính:

Ngoài ra, các lỗ hổng như CVE-2026-123865 gây rò rỉ bộ nhớ và file descriptor vĩnh viễn trong quá trình tắt phiên HTTP/2, vốn là một phần mở rộng của các vấn đề đã được ghi nhận trước đó như CVE-2026-48937.

Lỗ hổng xác thực và rò rỉ thông tin nhạy cảm

Các nhà nghiên cứu cũng chỉ ra rằng nhiều lỗi làm suy yếu cơ chế kiểm tra chứng chỉ và xác thực. Cụ thể, CVE-2026-123872 và CVE-2026-123867 cho phép kẻ tấn công vượt qua các chính sách mTLS (Mutual TLS) bằng cách thao túng SNI hoặc ép buộc sử dụng CA mặc định. Bên cạnh đó, CVE-2026-123871 gây rò rỉ thông tin xác thực proxy vào các thông báo lỗi ERR_PROXY_INVALID_CONFIG, tương tự như rủi ro đã biết từ CVE-2026-48615.

Hướng dẫn phòng thủ và khắc phục

Để đảm bảo an toàn cho hệ thống, các quản trị viên cần thực hiện ngay các bước sau:

• Cập nhật phiên bản: Nâng cấp lên v22.23.5, v24.22.3 hoặc v26.13.1 ngay lập tức.
• Thay thế khóa TLS: Đối với các hệ thống đã phục vụ lưu lượng truy cập qua các trình xử lý HTTPS bị ảnh hưởng, hãy coi như khóa TLS đã bị lộ và thực hiện thay thế (rotate) khóa mới.
• Rebuild Container: Sau khi cập nhật runtime, hãy thực hiện xây dựng lại toàn bộ các image container để đảm bảo môi trường thực thi đã được vá lỗi.
• Kiểm tra cấu hình: Rà soát lại các đoạn mã sử dụng https.Agent và các cấu hình HTTP/2 để đảm bảo không rơi vào các trường hợp khai thác đã nêu.

Bạn có thể tham khảo thêm thông tin chi tiết về các lỗ hổng này tại Node.js Security Advisories để nắm bắt đầy đủ các thay đổi kỹ thuật trong bản vá lần này.