حفره‌های امنیتی خطرناک در Next.js وNode.js؛ نسخه‌های اصلاح‌شده منتشر شد

به گزارش پیوست، Next.js و Node.js از ابزارهای پرکاربرد برای ساخت و اجرای وب‌سایت‌ها و خدمات اینترنتی هستند و وجود نقص در این ابزارها می‌تواند امنیت سرویس‌هایی را که از نسخه‌های آسیب‌پذیر استفاده می‌کنند، تهدید کند. هرچند استفاده از این فناوری‌ها به‌تنهایی به معنی آسیب‌پذیر بودن یا هک‌شدن یک وب‌سایت نیست.

تیم Next.js در اطلاعیه‌ای در ۲۲ مهر ۱۴۰۵ از رفع دو نقص با درجه خطر بحرانی خبر داد. یکی از این آسیب‌پذیری‌ها در بخش پردازش تصاویر قرار دارد. به این صورت که در برخی سرورهای لینوکسی، یک تصویر دستکاری‌شده می‌تواند از این نقص برای اجرای کد روی سرور استفاده کند. این مشکل به کتابخانه Sharp مرتبط است.

نقص دوم Next.js به شیوه ذخیره موقت اطلاعات در بعضی برنامه‌ها مربوط می‌شود. این نقص فقط در شرایط مشخصی در نسخه ۱۶ ایجاد خطر می‌کند، اما توسعه‌دهندگان توصیه کرده‌اند کاربران این نسخه حتی اگر از قابلیت مربوط استفاده نمی‌کنند، آن را به‌روزرسانی کنند.

در کنار این دو مورد، نقص دیگری در Next.js شناسایی شده که می‌تواند باعث مصرف بیش از حد توان پردازشی و از دسترس خارج شدن موقت وب‌سایت شود.

چند روز بعد، پروژه Node.js نیز در ۲۹ مهر ۱۴۰۵ از رفع یک حفره امنیتی با درجه خطر بالا خبر داد. این مشکل به بخشی مربوط می‌شود که داده‌های فشرده‌شده را باز می‌کند. اگر برنامه در شرایط مشخص داده آلوده‌ای را دریافت و باز کند، امکان اجرای کد غیرمجاز وجود دارد.

شرکت امنیت سایبری Imperva روز ۳۰ مهر ۱۴۰۵ اعلام کرد که توانسته در یک آزمایش کنترل‌شده از نقص Node.js برای اجرای کد استفاده کند. به گفته این شرکت، همان داده مخرب در نسخه اصلاح‌شده دیگر به اجرای کد منجر نشده است. این آزمایش نشان‌دهنده امکان سواستفاده است، نه اثبات حمله به وب‌سایت‌های واقعی.

برای رفع نقص‌های اعلام‌شده، نسخه‌های ۱۵.۵.۲۸ و ۱۶.۴.۱ از Next.js و نسخه‌های ۲۲.۲۳.۴، ۲۴.۲۲.۱ و ۲۶.۱۲.۱ از Node.js منتشر شده‌اند. مدیران فنی باید نسخه‌های نصب‌شده روی سرورها و محیط‌های اجرا را بررسی کنند و در صورت آسیب‌پذیر بودن، نسخه اصلاح‌شده را نصب کنند.

این به‌روزرسانی‌ها به‌صورت خودکار روی همه وب‌سایت‌ها اعمال نمی‌شوند. مدیران سرورها باید نسخه‌های آسیب‌پذیر را جایگزین کنند و سرویس‌های خود را دوباره راه‌اندازی کنند.