Un fallo en el decodificador Brotli de Node.js podría permitir la ejecución remota de código en todas las versiones compatibles
Node.js lanzó actualizaciones de seguridad para corregir diez vulnerabilidades, siendo la más grave un fallo en el código de descompresión de Brotli integrado en la plataforma. Este problema puede permitir la ejecución remota de código si se procesan datos comprimidos manipulados, afectando a las versiones que se encuentran actualmente con soporte oficial. Las versiones anteriores que ya han alcanzado el final de su ciclo de vida no recibirán dicho parche.
La falla en cuestión se origina por una escritura fuera de límites dentro del decodificador de Brotli al recibir entradas incorrectas, lo cual fue solucionado mediante un parche que detiene el proceso de manera anticipada. Aunque la calificación del problema es alta y el proyecto advierte sobre la posibilidad de ejecución de código, una prueba de concepto pública no logró alcanzar este objetivo en una compilación estándar, provocando únicamente un cierre inesperado y una lectura limitada de memoria.
Adicionalmente, las actualizaciones solucionan otras vulnerabilidades, incluyendo fallos en la validación de certificados TLS y en la resolución de nombres de dominio, así como problemas de predictibilidad en funciones criptográficas bajo ciertas modalidades de ejecución. Las nuevas versiones también incorporan un bloqueo contra llaves de entidades emisoras de certificados comprometidas de un proveedor específico y renuevan diversos componentes integrados como el cliente HTTP, c-ares, OpenSSL y SQLite.
El artículo original no aporta más detalle sobre el resto de las fallas de severidad media y baja mencionadas en el listado completo, más allá de los datos proporcionados.