dependências
9 artigos com esta tag
Vulnerabilidade do Brotli CVE-2026-111497 (Node2Shell): como verificar Node.js, Python e .NET, e o que atualizar
Em 21 de outubro de 2026 (horário dos EUA), o Google publicou o Brotli 1.2.1, 1.1.1 e 1.0.10 para corrigir a CVE-2026-111497, uma escrita fora dos limites na biblioteca oficial do Brotli. São afetados o Brotli 1.0.3–1.0.9, 1.1.0 e 1.2.0. Descomprimir dados Brotli manipulados pode corromper a memória e causar travamentos, exposição de memória ou, potencialmente, execução de código arbitrário. O Google atribui nota 9,2 no CVSS v4.0. O Node.js lançou 22.23.4, 24.22.1 e 26.12.1 no mesmo dia, e em 22 de outubro os pacotes do PyPI foram corrigidos no brotli 1.2.1 e no brotlicffi 1.2.1.0. A Microsoft publicou correções para o .NET 8, 9 e 10 (8.0.33, 9.0.22, 10.0.14) em 25 de outubro (horário dos EUA), e o Bun (1.4.4) e o Envoy também lançaram correções. O JPCERT/CC, a equipe de resposta a emergências de computador do Japão, emitiu em 26 de outubro um alerta que menciona os apelidos Node2Shell e HTTP2Shell. Muitos programas carregam a própria cópia do Brotli, então atualizar a biblioteca do sistema operacional não corrige as cópias dentro das builds oficiais do Node.js, dos wheels do Python vindos do PyPI, das imagens de contêiner ou dos executáveis de arquivo único. Em 27 de outubro (horário dos EUA), a CISA a adicionou ao seu catálogo de vulnerabilidades exploradas conhecidas (KEV), citando evidências de exploração ativa, e deu às agências federais dos EUA até 10 de novembro para corrigi-la. A CISA não publicou detalhes. Uma empresa de inteligência de ameaças relatou ter visto tráfego de exploração contra o Node.js 24.22.0, embora esse tráfego tenha falhado no teste da própria empresa, e a Microsoft ainda marca a falha como não explorada. Veículos de imprensa relatam que código de prova de conceito foi publicado. Conclusão deste site: se um serviço em Node.js, Bun, Python ou .NET descomprime dados recebidos de fora, atualize-o hoje sem esperar uma janela de manutenção e depois reconstrua contêineres e executáveis. Sites WordPress e PHP: empresas de segurança explicam em 2 de novembro que não é uma falha do núcleo do WordPress, dos plugins nem dos temas, então atualizar o WordPress não a corrige. O WordPress não inclui o Brotli e usa a biblioteca do sistema operacional, então atualize o pacote libbrotli do SO, reconstrua os contêineres e reinicie depois o PHP-FPM ou o Apache (a reinicialização é um acréscimo nosso). Uma empresa reproduziu em laboratório a execução de código por meio de pingbacks do XML-RPC e diz que, em 2 de novembro, não encontrou nenhum relato público de um site WordPress realmente comprometido.
Chaves de CA intermediária da eMudhra (emSign) comprometidas: o que usuários de Python precisam fazer com pip, certifi e uv
Em 17 de outubro de 2026, um relatório mostrou que as chaves privadas de oito certificados intermediários da autoridade certificadora indiana eMudhra (seis para TLS) haviam sido geradas de forma tão inadequada que qualquer pessoa poderia recuperá-las. A eMudhra revogou todos os oito em 18 de outubro, e Chrome e Firefox os bloquearam em 17 de outubro por meio de seus mecanismos de envio. Em 20 de outubro a Mozilla decidiu uma remoção emergencial de confiança na raiz superior, emSign ECC Root CA - G3, e o Chrome a removerá em 27 de outubro (horário do Pacífico). Os navegadores estão protegidos, mas clientes TLS fora do navegador podem confiar em certificados forjados até que sua própria cópia da lista de CAs seja atualizada. No Python, o pip sempre carrega seu certifi incorporado, portanto um pip antigo continua exposto mesmo após a correção do repositório do sistema operacional. Os projetos Python publicaram um aviso em 20 de outubro (atualizado até 22 de outubro) pedindo que os usuários atualizem para pelo menos certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 e pixi 0.82.1 e que reconstruam imagens de contêiner sem o cache de camadas. Em 21 de outubro lançaram Python 3.15.1, 3.14.9 e 3.13.17 com pip 26.2.2. Não haverá versão 3.11 ou 3.12 com um pip mais novo. Isto não é um bug de execução de código no CPython: um invasor na rota da rede poderia redirecionar conexões ao PyPI, python.org e outros sites para um servidor falso. Nenhuma exploração havia sido anunciada até 24 de outubro. Em 22 de outubro a eMudhra disse que vai deixar o negócio global de certificados SSL/TLS. A visão deste site: atualize o pip para 26.2.2 ou posterior e o certifi para 2026.10.19 ou posterior em todos os ambientes, reconstrua imagens Docker sem o cache e eleve quaisquer fixações de certifi em lockfiles.
Prototype pollution no Node.js: o que o runtime não cobre e como se defender no seu próprio código
Prototype pollution (poluição de protótipo) é o que acontece quando uma chave especial vinda de entrada externa chega aos protótipos nativos do JavaScript, normalmente por um merge recursivo. Dois resultados: propriedades que você nunca definiu aparecem em todo lugar (quebrando verificações de autorização e de opções), ou métodos nativos desaparecem e o app cai num ponto sem relação. O que mais importa é a responsabilidade — o Node.js declara que isso não é uma vulnerabilidade do núcleo do Node.js e que as defesas ficam no nível da aplicação e das dependências. Esperar uma atualização não vai resolver.
O que é o OpenSSL? A biblioteca que cuida da criptografia do HTTPS, e como mantê-la segura
OpenSSL = a biblioteca de código aberto que sustenta o HTTPS (TLS/SSL) e a criptografia. Quase ninguém a escreve diretamente — você a herda via servidor web, SO ou runtime da linguagem. Por isso um único bug tem um impacto enorme (o Heartbleed é o caso clássico). Defesa: saiba qual OpenSSL sua stack usa, não rode versões em fim de suporte (EOL), inclua as bibliotecas fundamentais no monitoramento de CVE e corrija rápido. Até os certificados que este site serve rodam criptografia por baixo através de uma implementação da família OpenSSL.
Corrigindo CVEs de dependências de verdade: varrer, corrigir, isolar e seguir vigiando
O trabalho de vulnerabilidade não termina quando você 'corrige'. Pronto = 1) varrer, 2) corrigir, 3) isolar/repassar, 4) monitorar. Até o monitoramento (detecção de mudança diária) estar no lugar, está incompleto — dependências voltam a ser vulneráveis amanhã. Uma correção perfeita que o próximo deploy sobrescreve vale zero. Equipes pequenas se mantêm seguras com duas disciplinas: detecção de mudança automatizada e 'local→push→deploy'.
Instalando e usando o osv-scanner: encontre CVEs nas suas dependências automaticamente
O osv-scanner escaneia lockfiles e containers para revelar CVEs nas suas dependências, de graça. Este guia percorre a instalação, a execução e a integração ao CI, além de quando usá-lo vs. npm/pnpm audit vs. Dependabot. A visão deste site: qual ferramenta serve depende da sua configuração. Use o osv-scanner em projetos multi-ecossistema ou sem GitHub, e o pnpm audit embutido para uma única árvore npm.
Log4Shell (CVE-2021-44228) — uma falha numa biblioteca de logs, e por que as equipes não conseguiam saber rápido se a usavam
O bug CVSS 10.0 do Log4j. O problema central era a dependência transitiva: ser afetado por uma biblioteca que você nem sabia que usava. Um caminho passivo de logs virou vetor de ataque. SBOM, monitoramento por máquina, patch rápido e acompanhar os CVEs de continuação são as lições.
O backdoor do XZ Utils (CVE-2024-3094) — um ataque à cadeia de suprimentos feito por um co-mantenedor confiável
Um mantenedor confiável plantou um backdoor no xz, num ataque à cadeia de suprimentos. Um engenheiro notou que os logins estavam lentos e o encontrou pouco antes das versões estáveis. O alvo não era o código; eram as pessoas e a confiança. Minimize dependências, fixe versões, faça builds reprodutíveis, persiga anomalias e apoie os mantenedores.
Rodando Next.js com segurança: não ficar para trás nos CVEs publicados
O maior risco de framework são CVEs publicados e negligenciados. Defenda com quatro práticas: julgue pela versão em execução, monitore com Dependabot/osv-scanner, atualize rápido e rode com menor privilégio. A visão deste site: o que costuma faltar a desenvolvedores indie não é conhecimento, mas uma forma de manter a operação em andamento; um sistema que não deixa CVEs escaparem importa mais que velocidade.