зависимости
11 статей с этим тегом
Уязвимость Brotli CVE-2026-111497 (Node2Shell): как проверить Node.js, Python и .NET и что обновить
21 октября 2026 года (по времени США) Google выпустил Brotli 1.2.1, 1.1.1 и 1.0.10, исправляющие CVE-2026-111497 — запись за пределы буфера в официальной библиотеке Brotli. Затронуты Brotli 1.0.3–1.0.9, 1.1.0 и 1.2.0. Распаковка специально сформированных данных Brotli может повредить память и привести к сбою, раскрытию содержимого памяти или, потенциально, к выполнению произвольного кода. Google оценивает уязвимость в 9.2 по CVSS v4.0. Node.js в тот же день выпустил 22.23.4, 24.22.1 и 26.12.1, а 22 октября пакеты PyPI были исправлены в brotli 1.2.1 и brotlicffi 1.2.1.0. Microsoft опубликовал исправления для .NET 8, 9 и 10 (8.0.33, 9.0.22, 10.0.14) 25 октября (по времени США); исправления выпустили также Bun (1.4.4) и Envoy. JPCERT/CC, японская команда реагирования на компьютерные инциденты, 26 октября выпустила предупреждение, в котором упоминаются прозвища Node2Shell и HTTP2Shell. Многие программы содержат собственную копию Brotli, поэтому обновление библиотеки операционной системы не исправляет копии внутри официальных сборок Node.js, Python-wheel из PyPI, образов контейнеров и однофайловых исполняемых файлов. 27 октября (по времени США) CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей (KEV), сославшись на признаки активной эксплуатации, и обязала федеральные ведомства США устранить её до 10 ноября. Подробностей CISA не опубликовала. Одна компания по анализу угроз сообщила, что зафиксировала эксплойт-трафик против Node.js 24.22.0, хотя в собственном тесте компании этот трафик не сработал, а Microsoft по-прежнему отмечает уязвимость как неэксплуатируемую. СМИ сообщают, что опубликован код доказательства концепции (PoC). Вывод этого сайта: если сервис на Node.js, Bun, Python или .NET распаковывает данные, полученные извне, обновите его сегодня, не дожидаясь окна обслуживания, затем пересоберите контейнеры и исполняемые файлы. Сайты на WordPress и PHP: компании по безопасности поясняют 2 ноября, что это не ошибка ядра WordPress, плагинов или тем, поэтому обновление WordPress её не исправляет. WordPress не включает Brotli и использует библиотеку операционной системы, так что обновите пакет libbrotli ОС, пересоберите контейнеры и после этого перезапустите PHP-FPM или Apache (перезапуск — наше дополнение). Одна компания воспроизвела выполнение кода в лаборатории через пингбеки XML-RPC и говорит, что на 2 ноября не нашла публичных сообщений о фактической компрометации сайта на WordPress.
Компрометация промежуточных CA eMudhra (emSign): что делать пользователям Python с pip, certifi и uv
17 октября 2026 года появилось сообщение о том, что закрытые ключи восьми промежуточных сертификатов индийского центра сертификации eMudhra (шесть для TLS) были сгенерированы настолько плохо, что любой мог их восстановить. eMudhra отозвала все восемь 18 октября, а Chrome и Firefox заблокировали их 17 октября через механизмы push-обновлений. 20 октября Mozilla приняла решение об экстренном исключении доверия к родительскому корневому сертификату emSign ECC Root CA - G3, а Chrome удалит его 27 октября (по тихоокеанскому времени). Браузеры защищены, но TLS-клиенты вне браузера могут доверять поддельным сертификатам, пока не обновится их собственная копия списка CA. В Python pip всегда загружает встроенную копию certifi, поэтому старый pip остаётся уязвимым даже после исправления системного хранилища. Проекты Python опубликовали уведомление 20 октября (обновлено до 22 октября), в котором просят пользователей обновиться как минимум до certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 и pixi 0.82.1 и пересобрать образы контейнеров без кеша слоёв. 21 октября они выпустили Python 3.15.1, 3.14.9 и 3.13.17 со встроенным pip 26.2.2. Выпуска 3.11 или 3.12 с более новым pip не будет. Это не ошибка выполнения кода в CPython: злоумышленник, находящийся на сетевом пути, может перенаправить соединения с PyPI, python.org и других сайтов на поддельный сервер. По состоянию на 24 октября эксплуатация не была объявлена. 22 октября eMudhra сообщила, что уходит с глобального рынка сертификатов SSL/TLS. Мнение этого сайта: обновите pip до 26.2.2 или новее и certifi до 2026.10.19 или новее во всех окружениях, пересоберите образы Docker без кеша и поднимите все закрепления certifi в lock-файлах.
Цепочка компрометаций TanStack, Nx Console и GitHub (май 2026): что проверить разработчикам
11 мая 2026 года пайплайн публикации репозитория Router/Start проекта TanStack был использован, чтобы выпустить код для кражи учётных данных в 42 пакетах npm, 84 версиях. У участника Nx, установившего один из них, украли токен GitHub CLI, и 18 мая было опубликовано подменённое расширение Nx Console (v18.95.0). В тот же день GitHub сообщил, что устройство сотрудника было скомпрометировано через заражённое расширение VS Code и что внутренние репозитории GitHub были выведены наружу. Во всех трёх случаях атака шла через легитимные аккаунты и каналы распространения, поэтому защита в том, чтобы одного украденного токена публикации не хватало для выпуска новой версии, и в том, чтобы проверить, что настроенные меры защиты действительно срабатывают.
Компрометация цепочки поставок Trivy (март 2026): что делать, если Trivy работает у вас в CI
19 марта 2026 года вышла вредоносная версия v0.69.4 сканера уязвимостей с открытым кодом Trivy, который разрабатывает Aqua Security, а теги GitHub Actions trivy-action (76 из 77) и setup-trivy (все 7) были перенаправлены на вредоносные коммиты. По словам Aqua, вредоносный код собирал секреты с раннеров CI и отправлял их наружу; причиной стали учётные данные, полученные при взломе, начавшемся в конце февраля: атакующий смог и дальше ими пользоваться, потому что ротацию 1 марта провели не одновременно. Взгляд этого сайта: урок не только в том, чтобы закреплять actions по ID коммита (SHA), а не по тегу. Action, закреплённый по SHA, всё равно может вызывать другой компонент по тегу, и через это проходит вредоносная версия. Утёкшие учётные данные нужно заменять все сразу, иначе атакующий продолжит ими пользоваться. Запускайте сканеры в заданиях, у которых нет секретов для развёртывания.
Загрязнение прототипа в Node.js: что не закрывает среда выполнения и как защитить свой код
Загрязнение прототипа происходит, когда специальный ключ из внешних данных доходит до встроенных прототипов JavaScript, обычно через рекурсивное слияние. Два последствия: повсюду появляются свойства, которые вы не задавали (ломаются проверки прав и настроек), или исчезают встроенные методы, и приложение падает в несвязанном месте. Важнее всего вопрос ответственности: Node.js прямо пишет, что это не уязвимость ядра Node.js и что защищаться нужно на уровне приложения и зависимостей. Обновление это не исправит.
Что такое OpenSSL? Библиотека, которая обеспечивает шифрование HTTPS, и как поддерживать её в безопасности
OpenSSL = открытая библиотека, на которой держатся HTTPS (TLS/SSL) и криптография. Почти никто не пишет её напрямую — её наследуют через веб-сервер, ОС или среду выполнения языка. Поэтому у одного бага огромные последствия (классика — Heartbleed). Защита: знайте, какой OpenSSL использует ваш стек, не работайте на EOL-версиях, включайте фундаментальные библиотеки в мониторинг CVE и патчите без промедления. Даже сертификаты, которые отдаёт этот сайт, прогоняют криптографию через реализацию из семейства OpenSSL внизу.
Как по-настоящему закрывать CVE в зависимостях: сканировать, исправлять, изолировать и продолжать следить
Работа с уязвимостями не закончена, когда вы «исправили». Готово = 1) скан, 2) фикс, 3) изоляция/передача, 4) мониторинг. Пока не налажен мониторинг (ежедневное обнаружение изменений), это незавершённо — зависимости снова станут уязвимыми завтра. Идеальное исправление, которое перезаписывает следующий деплой, стоит ноль. Малые команды остаются в безопасности за счёт двух дисциплин: автоматического обнаружения изменений и «локально→push→деплой».
Установка и использование osv-scanner: автоматический поиск CVE в ваших зависимостях
osv-scanner сканирует lock-файлы и контейнеры, выявляя CVE в ваших зависимостях, бесплатно. Здесь разобраны установка, запуск и интеграция в CI, плюс когда применять его vs npm/pnpm audit vs Dependabot. Взгляд этого сайта: какой инструмент подходит, зависит от вашей конфигурации. Используйте osv-scanner для проектов с несколькими экосистемами или без GitHub, и встроенный pnpm audit для одного npm-дерева.
Log4Shell (CVE-2021-44228) — уязвимость библиотеки логирования и почему командам было трудно быстро понять, используют ли они её
Баг CVSS 10.0 в Log4j. Главная проблема — транзитивная зависимость: быть затронутым через библиотеку, об использовании которой вы не знали. Пассивный путь логирования стал вектором атаки. SBOM, машинный мониторинг, быстрый патчинг и отслеживание последующих CVE — вот уроки.
Бэкдор XZ Utils (CVE-2024-3094) — атака на цепочку поставок со стороны доверенного со-мейнтейнера
Доверенный мейнтейнер внедрил бэкдор в xz — это атака на цепочку поставок. Один инженер заметил, что вход стал медленным, и нашёл бэкдор прямо перед стабильными релизами. Целью был не код, а люди и доверие. Минимизируйте зависимости, закрепляйте версии, собирайте воспроизводимо, разбирайтесь в аномалиях и поддерживайте мейнтейнеров.
Безопасный запуск Next.js: не отставать от опубликованных CVE
Главный риск фреймворка — заброшенные опубликованные CVE. Защищайтесь четырьмя практиками: судите по работающей версии, мониторьте Dependabot/osv-scanner, быстро обновляйтесь и работайте с минимумом привилегий. Взгляд этого сайта: инди-разработчикам обычно не хватает не знаний, а способа поддерживать эксплуатацию; система, которая не пропускает CVE, важнее скорости.