關(guān)鍵詞

黑客

以"默認(rèn)安全"架構(gòu)著稱的現(xiàn)代 JavaScript/TypeScript 運(yùn)行時(shí) Deno 近日曝出兩個(gè)重大安全漏洞。這些漏洞分別影響運(yùn)行時(shí)的加密兼容性和 Windows 平臺命令執(zhí)行功能，可能導(dǎo)致服務(wù)器敏感密鑰泄露并允許攻擊者執(zhí)行任意代碼。

加密模塊漏洞（CVE-2026-22863）

其中最嚴(yán)重的 CVE-2026-22863 漏洞 CVSS 評分高達(dá) 9.2，存在于 Deno 的 node:crypto 兼容層中——該模塊旨在讓 Deno 能夠運(yùn)行為 Node.js 編寫的代碼。

根據(jù)安全公告，node:crypto 實(shí)現(xiàn)未能正確終止加密操作。在標(biāo)準(zhǔn)加密流程中，final() 方法本應(yīng)結(jié)束加密過程并清理狀態(tài)。但在受影響版本中，該方法會(huì)使加密流保持開啟狀態(tài)，實(shí)質(zhì)上允許"無限加密"。

報(bào)告指出，這種狀態(tài)管理缺陷"可能導(dǎo)致暴力破解嘗試，以及更精細(xì)的攻擊手段以獲取服務(wù)器密鑰"。分析報(bào)告中提供的 PoC 顯示，調(diào)用 cipher.final() 會(huì)產(chǎn)生一個(gè)仍保持活動(dòng)狀態(tài)且內(nèi)部緩沖可訪問的 Cipheriv 對象，而非預(yù)期的已關(guān)閉 CipherBase 對象。

Windows 命令執(zhí)行漏洞（CVE-2026-22864）

第二個(gè)漏洞 CVE-2026-22864 影響 Deno 在 Windows 平臺創(chuàng)建子進(jìn)程的能力。分析報(bào)告詳細(xì)描述了通過 Deno.Command API 執(zhí)行批處理文件時(shí)"繞過已修復(fù)漏洞"的方法。

Deno 本應(yīng)具備防止子進(jìn)程注入攻擊的安全機(jī)制。當(dāng)用戶嘗試直接運(yùn)行 .bat 文件時(shí)，Deno 通常會(huì)拋出 PermissionDenied 錯(cuò)誤，提示開發(fā)者"使用 shell 執(zhí)行 bat 或 cmd 文件"以確保參數(shù)安全處理。

但研究人員發(fā)現(xiàn)可通過修改文件擴(kuò)展名大小寫（特別是.BAT）或操縱命令參數(shù)來繞過限制。報(bào)告中的 PoC 截圖顯示，攻擊者能通過在批處理文件執(zhí)行環(huán)境中注入?yún)?shù)（args: ["&calc.exe"]）成功運(yùn)行 calc.exe（Windows 計(jì)算器），實(shí)現(xiàn)在主機(jī)上執(zhí)行任意代碼。

修復(fù)建議

用戶應(yīng)立即升級至 Deno v2.6.0 或更高版本以修復(fù)這些漏洞。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！