Node.js heeft kritieke kwetsbaarheden opgelost, maar grootschalige upgrades verlopen traag; tijdelijke mitigaties en bestaande beveiligingslagen bieden bescherming.
Node.js heeft een kritieke kwetsbaarheid in de Brotli decoder (CVE-2026-111497) opgelost in versies 22.23.4, 24.22.1 en 26.12.1. Deze kwetsbaarheid kan leiden tot remote code execution. Daarnaast zijn er meerdere andere ernstige beveiligingsproblemen verholpen die de validatie van DNS en TLS hostnamen verzwakken. Ondanks deze patches verloopt het upgraden van Node.js op grote schaal traag, mede doordat kwetsbare code diep in de runtime, container images, standalone applicaties en serverless functies zit, die vaak niet door dependency checks worden gedekt.
Uit telemetriegegevens van Qualys blijkt dat slechts 42.000 van de circa 3,3 miljoen Node.js-installaties zijn gepatcht. Daarnaast draaien ongeveer 1,7 miljoen installaties op end-of-life versies, zoals 25.x, 23.x, 21.x en 20.x, waarvoor geen patches meer beschikbaar komen. Deze versies moeten worden vervangen door ondersteunde lijnen. In de tussentijd kunnen organisaties gebruikmaken van tijdelijke mitigaties die de aanvalspaden via Brotli, DNS, TLS en keep-alive beperken. Ook bestaande beveiligingslagen zoals WAF, IPS en EDR van grote leveranciers kunnen extra bescherming bieden.
Het is essentieel om kwetsbare Node.js-runtimes te identificeren en te prioriteren, vooral internetgerichte services die onbetrouwbare Brotli-data decompressen, omdat deze het meest direct blootstaan aan remote code execution. Daarna volgen services die TLS-verbindingen openen naar door gebruikers opgegeven hosts. Runtimes op end-of-life versies verdienen prioriteit voor vervanging. Organisaties dienen deze technische factoren te combineren met de bedrijfskritische waarde van systemen om te bepalen welke mitigaties en upgrades eerst moeten plaatsvinden.
Hoewel Node.js zelf geen officiële workarounds biedt, heeft de Qualys Threat Research Unit praktische tijdelijke maatregelen geïdentificeerd. Deze beperken specifieke aanvalspaden, zoals het vermijden van het decompressen van Brotli-data van onbetrouwbare bronnen en het beperken van payloadgrootte en decompressieverhouding via reverse proxies of WAF’s. Daarnaast wordt aanbevolen om DNS-resoluties veiliger uit te voeren met dns.lookup in plaats van dns.resolve*, en om hostnamen met NUL-tekens te weigeren. Ook het canonicaliseren van IP-adressen helpt bij het verkleinen van risico’s. Deze maatregelen moeten zorgvuldig worden getest, omdat ze invloed kunnen hebben op applicatiegedrag.
Hoewel deze tijdelijke controles tijd kopen, blijft het upgraden van de Node.js runtime de enige volledige oplossing tegen de kwetsbaarheden. In de nabije toekomst zal Qualys ETM ook rekening houden met deze aanvullende beveiligingslagen bij het bepalen van risicoscores, wat helpt bij het beter inschatten van de actuele dreigingssituatie.
