3月24日，Node.js安全團(tuán)隊一次性推送了覆蓋4個主版本線的更新包。6個漏洞里，有3個能讓進(jìn)程直接崩潰，1個能繞過權(quán)限隔離，還有1個藏著定時炸彈式的側(cè)信道風(fēng)險。

對跑在生產(chǎn)環(huán)境的團(tuán)隊來說，這組補(bǔ)丁的優(yōu)先級可能比功能迭代更高。

TLS回調(diào)的"漏網(wǎng)之魚"

CVE-2026-21637的修復(fù)并不徹底。那次補(bǔ)丁封住了ALPN和PSK回調(diào)的同步異常逃逸，但SNICallback被落下了。

當(dāng)SNICallback在處理意外輸入時拋出同步異常，這個錯誤會繞過TLS的錯誤處理機(jī)制，直接變成未捕獲異常把進(jìn)程砸停。

Node.js核心貢獻(xiàn)者M(jìn)atteo Collina提交了修復(fù)。安全研究員mbarbs報的案——這種"修一半留一半"的漏洞在大型代碼庫里不算罕見，但每次都讓人捏把汗。

類比的話：就像你給家里三扇窗裝了防盜網(wǎng)，漏了廚房那扇，小偷照樣能進(jìn)。

一個下劃線開頭的header名

第二個漏洞的觸發(fā)條件看起來有點刁鉆：請求里帶一個名叫__proto__的header，且代碼訪問了req.headersDistinct。

但后果很干脆——TypeError，同步拋出，無法被error事件監(jiān)聽捕獲。想防住它，得給每個headersDistinct訪問包try/catch。

問題出在JavaScript的原型鏈污染。dest["__proto__"]解析到了Object.prototype而不是undefined，然后代碼試圖在非數(shù)組上調(diào)用.push()。

研究員yushengchen發(fā)現(xiàn)的這個坑，Collina同樣負(fù)責(zé)修復(fù)。對于依賴header解析的中間件生態(tài)，這算是顆埋在地毯下的釘子。

權(quán)限模型的"本地后門"

Node.js的Permission Model（權(quán)限模型）本意是給代碼沙箱化用的。加--permission啟動，不配--allow-net，網(wǎng)絡(luò)操作就該被攔住。

但Unix Domain Socket（UDS，Unix域套接字）服務(wù)器操作漏掉了權(quán)限檢查。

結(jié)果是：被限制的代碼仍能創(chuàng)建本地IPC端點，跟同主機(jī)其他進(jìn)程偷偷通信。

RafaelGSS修了這個洞。報告者xavlimsg的測試用例說明，網(wǎng)絡(luò)隔離的邊界在實現(xiàn)層面比文檔里模糊得多。

國際化域名的斷言炸彈

url.format()在處理畸形的國際化域名（IDN）時，會在原生代碼層觸發(fā)斷言失敗。不是拋JS異常，是直接崩進(jìn)程。

wooffie報的這個問題，RafaelGSS修復(fù)。IDN的坑Node.js踩過不止一次，這次屬于字符驗證和格式化之間的縫隙。

HMAC的計時側(cè)信道

最后一個值得細(xì)品。Node.js在HMAC簽名驗證時用了非恒定時間比較，匹配字節(jié)越多，返回越快。

攻擊者如果能拿到高精度計時測量——比如共享物理機(jī)、或某些云環(huán)境的鄰居實例——理論上可以逐字節(jié)推斷出正確的HMAC值。

諷刺的是，Node.js codebase里本來就有恒定時間比較的原語，其他地方都在用。這次是純 oversight（疏漏），不是設(shè)計取舍。

panva修了這處。報告者x_probe的挖掘說明，加密實現(xiàn)里的"漏網(wǎng)之魚"和TLS回調(diào)那個是同款毛病：有工具不用，等于沒工具。

HTTP/2的內(nèi)存泄漏（未完成）

原文對第六個漏洞的描述被截斷了，只提到"HTTP/2服務(wù)器在收到stream 0的WINDOW_UPDATE幀時"會發(fā)生內(nèi)存泄漏。Node.js安全公告的完整版本里應(yīng)該有細(xì)節(jié)。

4個版本線同時更新：25.x、24.x、22.x、20.x。20.x作為長期支持版（LTS）的修復(fù)窗口還在，但維護(hù)期已經(jīng)進(jìn)入倒計時。

你的生產(chǎn)環(huán)境跑在哪個版本線上？權(quán)限模型有沒有實際啟用，還是只是文檔里的"支持特性"？