Node.js ha solucionado un defecto serio en su decodificador Brotli que, al procesar contenido comprimido controlado por un atacante, puede provocar una escritura fuera de límites y terminar en ejecución remota de código.
Qué falla y cómo actúa
El problema se manifiesta durante la descompresión de datos Brotli: una escritura fuera de los límites de memoria dentro del decodificador puede corromper el proceso y, en condiciones favorables para el atacante, permitir la ejecución de código arbitrario. Este tipo de error entra en la categoría de corrupción de memoria y suele tener alto impacto en entornos que reciben o manejan datos comprimidos de orígenes no confiables.
Qué versiones están corregidas y a quién afecta
- Node.js ha publicado correcciones para las ramas actualmente soportadas: 22.23.4, 24.22.1 y 26.12.1.
- Las ramas fuera de soporte (por ejemplo, 18.x, 20.x, 23.x o 25.x) no recibirán parches oficiales; los proyectos que aún las usen deben planear una migración a una rama con mantenimiento para aplicar la corrección.
Consideraciones sobre compilaciones y dependencias del sistema
El aviso incluye una advertencia importante para entornos donde Node.js se compila enlazando contra la biblioteca Brotli del sistema: si la implementación de Brotli presente en la distribución o el contenedor no incorpora el arreglo upstream, la vulnerabilidad puede persistir aunque el binario de Node.js parezca actualizado. En esos casos conviene verificar que la dependencia de Brotli incluye el fix relevante.
Qué deben hacer administradores y dueños de sitios
- Inventariar servicios que aceptan o decodifican contenido Brotli, tanto en servidores de producción como en pipelines de CI/CD, imágenes de contenedor y entornos locales.
- Actualizar a las versiones corregidas de Node.js en los entornos afectados lo antes posible.
- Si no es posible actualizar de inmediato, mitigar el riesgo evitando que procesos expuestos acepten o descompriman datos Brotli procedentes de fuentes no confiables.
- Comprobar las bibliotecas del sistema (Brotli) en distribuciones y contenedores para confirmar que incluyen el arreglo upstream cuando Node.js fue compilado contra ellas.
Contexto y alcance práctico
El escenario de ataque relevante no es puramente teórico: muchos servicios web aceptan respuestas o cargas comprimidas, y sistemas que procesan contenido enviado por terceros (APIs, herramientas de ingesta, microservicios) pueden exponerse si no controlan el origen o la integridad de los datos. Además, una versión vulnerable alojada en una imagen de contenedor o en un runner de CI puede reintroducir la vulnerabilidad en la cadena de entrega incluso después de actualizar servidores en producción.
Además del fallo en Brotli, el paquete de parches en esta tanda incluye otras correcciones de seguridad; entre ellas, se han señalado problemas vinculados a la validación de hostnames en TLS. Por tanto, las actualizaciones aportan protección frente a varios vectores y conviene aplicarlas de forma coordinada.
En resumen: identifique servicios que procesen Brotli, compruebe compilaciones enlazadas contra la biblioteca de sistema y actualice a las versiones publicadas de Node.js para mitigar el riesgo.
Lee también:
- Ataques contra PHP2Shell siguen activos pero no hay compromisos confirmados
- Cloudflare logra la certificación ISMS de Corea del Sur y adapta su registro para usuarios coreanos
Fuente: Una Al Día
