Tioli công bố hướng dẫn ứng phó khẩn cấp cho lỗ hổng 'Node2Shell'

Chuyện gì đã xảy ra

Ngày 26, Tioree cho biết họ đã tự dựng lại và kiểm tra lỗi Node2Shell (CVE-2026-111497). Lỗi này được công bố vào ngày 21. Tioree cũng đưa ra một hướng dẫn cách ứng phó và một công cụ kiểm tra trực tuyến miễn phí tên là Node.js Guard. Lỗi cho phép kẻ tấn công làm hỏng máy chủ Node.js bằng dữ liệu nén được tạo riêng.

Các con số và sự kiện chính

• Node.js đánh giá mức rủi ro là Cao.
• Các phiên bản bị ảnh hưởng: Node.js 22.x, 24.x và 26.x chưa có bản vá bảo mật.
• Các phiên bản đã sửa, phát hành ngày 21: 22.23.4, 24.22.1 và 26.12.1.
• Lỗi nằm ở chính Node.js, không phải do đoạn mã mà lập trình viên viết.

Lỗi nằm ở đâu

Node.js được dùng rộng rãi để xây dựng website và các hệ thống phía sau. Lỗi nằm trong đoạn mã giải nén dữ liệu được nén bằng Brotli, một công cụ giúp dữ liệu web nhỏ hơn. Bình thường, dữ liệu xấu sẽ bị từ chối và báo lỗi. Nhưng đoạn mã yếu này đôi khi vẫn tiếp tục xử lý dữ liệu xấu. Khi đó, dữ liệu có thể được ghi ra ngoài vùng bộ nhớ an toàn của nó.

Vì sao điều này quan trọng

Khi bộ nhớ bị hỏng, chương trình máy chủ có thể bị treo hoặc làm lộ thông tin trong bộ nhớ. Trong một số điều kiện, kẻ tấn công có thể chạy mã trên máy chủ từ xa. Không phải máy chủ Node.js nào cũng gặp nguy hiểm. Tấn công chỉ thành công khi dữ liệu nén độc hại từ bên ngoài đi tới đoạn mã giải nén yếu. Nhiều công ty đang dùng Node.js nên rủi ro khá rộng. Lập trình viên vẫn có thể bị ảnh hưởng dù họ không tự dùng nén dữ liệu, vì các web framework có thể dùng nén bên trong. Tioree khuyên các công ty chưa thể cập nhật ngay nên áp dụng biện pháp tạm thời, đồng thời cài bản vá bảo mật mới nhất.