TR-26-1388 (Node.js Projesi Güvenlik Bildirimi)

[Toplama Pc]

Genel Bilgi

Açık kaynaklarda yer alan bilgilere göre, Node.js projesi, 21 Ekim 2026 tarihinde 26.x, 24.x ve 22.x sürüm hatları için toplam 10 güvenlik açığını gideren güncellemeler yayımlamıştır. Güncellemeler ayrıca OpenSSL, c-ares, Undici ve SQLite bağımlılık yamalarını içermekte ve ele geçirilmiş eMudhra ara sertifika otoritesini güvenilir CA listesinden çıkarmaktadır.

Etki

Zafiyetlerin başarılı şekilde istismar edilmesi durumunda, sistemlerin ele geçirilmesi, şifreli bağlantıların araya girme saldırılarına açık kalması ve veri sızıntısı riski bulunmakta olduğu değerlendirilmektedir. CVE kodları ve açıklamaları şu şekildedir:

• CVE-2026-111497: Node.js’e gömülü Brotli çözücüdeki sınır dışı yazma hatasıdır. Bu açık, saldırganın hazırladığı Brotli sıkıştırılmış verinin işlenmesi yoluyla uzaktan kod çalıştırılmasına imkân tanımaktadır.
• CVE-2026-105482: dns.resolve fonksiyonunun NUL karakteri içeren alan adlarını kırpmasıdır. Bu durum SSRF korumalarının ve izin listesi denetimlerinin atlatılmasına yol açabilmektedir.
• CVE-2026-105483: Tam genişlikli rakamlarla yazılmış IP adresleri üzerinden TLS sertifika hostname doğrulaması atlatılabilmektedir.
• CVE-2026-106069: Normalleştirme sonrasında IP adresine dönüşen host adları üzerinden TLS sertifika hostname doğrulaması atlatılabilmektedir.
• CVE-2026-105481: HTTP keep-alive bağlantılarında yanıtların yanlış isteklerle eşleşmesine yol açmaktadır.
• CVE-2026-106072: Kanonik olmayan IPv4 gösterimlerinde DNS SAN kayıtlarıyla IP uç noktalarının doğrulanmasına izin vermektedir.
• CVE-2026-106074: crypto.randomUUID() ve randomInt() fonksiyonlarının entropi önbelleklerinin startup snapshot’larına ve tek dosyalı uygulamalara (SEA) kaydedilmesinden kaynaklanmaktadır.
• CVE-2026-106070, CVE-2026-106071 ve CVE-2026-106073: Node.js İzin Modeli’nin (--permission) fs.realpathSync ve joker karakterli yol eşleştirmesi üzerinden atlatılmasıyla ve ZipFile ayrıştırıcısındaki bir hatayla ilişkilendirilmektedir.

Alınması Gereken Önlemler ve Çözüm Önerileri

Kurum ve kuruluşların, uygulamalarının güvenliğinin sağlanması amacıyla;

• Geçici önlem olarak güvenilmeyen trafikte Brotli açma işlemi vekil sunucu katmanında devre dışı bırakılmalıdır.
• Kritik bağlantılarda sertifika parmak izine dayalı doğrulama kullanılmalıdır.
• İvedilikle ilgili sürüm hattının yamalı sürümüne geçilmelidir.
• Eski node:* taban imajlarıyla oluşturulmuş container’lar yeniden derlenmelidir.
• SEA ile paketlenmiş uygulamalar yeniden derlenip bu uygulamaların ürettiği gizli anahtarlar yenilenmelidir.

Düzeltilmiş sürümler 26.12.1, 24.22.1 ve 22.23.4'tür. Destek süresi dolmuş 20.x ve önceki sürümler de etkilenmektedir fakat bu sürümler için yama yayımlanmayacaktır. Güvenlik güncellemesi, güncelleme öncesinde gerçekleşmiş bir güvenlik ihlalini gidermemektedir. Zafiyetin düzeltme yayımlanmadan önce istismar edilmiş olma ihtimalinden ötürü, güncelleme öncesinde şüpheli bir ek veya bağlantı açıldığı değerlendirilen sistemlerde ayrıca inceleme yapılmalıdır.

Kaynaklar

https://nodejs.org/en/blog/vulnerab...d-zip-header-validation-cve-2026-106070---low

https://nodejs.org/en/blog/release/v22.23.4/

https://nodejs.org/en/blog/release/v24.22.1/

https://nodejs.org/en/blog/release/v26.12.1/