Node.js corrige un fallo que tumba servidores HTTP/2

Node.js ha publicado esta semana actualizaciones que corrigen 16 vulnerabilidades. Dos de ellas afectan al soporte HTTP/2 que trae integrado el propio entorno de ejecución y son las que piden actualizar sin esperar, según The Hacker News.

Dos fallos en HTTP/2

El primero permite a clientes sin autenticar tumbar servidores que usen el HTTP/2 integrado de Node.js en las ramas 24.x y 26.x. No hace falta cuenta ni acceso previo: cualquiera que pueda conectarse al servicio puede provocar la caída.

El segundo es más delicado. Puede hacer que un servidor envíe a un cliente fragmentos de su memoria, y entre ellos pueden ir respuestas destinadas a otras conexiones. Dicho de otra forma, un usuario podría recibir datos que iban para otro. En un servicio que maneje sesiones, datos personales o respuestas privadas, eso es una filtración.

Qué versiones instalar

Hay versiones corregidas para las tres ramas con soporte:

• 22.23.5 para la rama 22.x
• 24.22.3 para la rama 24.x
• 26.13.1 para la rama 26.x

La recomendación es instalar la que corresponda a la rama que se use. Conviene revisar también las imágenes de contenedor y los entornos gestionados que traen su propio Node.js, porque no siempre se actualizan a la vez que el sistema.

Lo que falta por saber

Con la información disponible no está claro qué ramas afecta exactamente el fallo de filtración de memoria, ni si alguno de los dos se está explotando ya. Tampoco se ha detallado aquí la gravedad asignada a cada vulnerabilidad ni qué corrigen las otras 14. Si no se puede actualizar de inmediato, la información publicada no recoge ninguna mitigación concreta, así que lo prudente es parchear cuanto antes.

Fuente: The Hacker News