تحديثات أمنية لـ Node.js على ديبيان 13 و12 (DSA-6517-1 وDLA-4809-1): إصلاحات HTTP/2 وTLS ونموذج الصلاحيات

نقلت ديبيان إلى حزم Node.js الخاصة بها إصلاحات الإصدارين الأمنيين لمشروع Node.js في يونيو ويوليو 2026: النشرة DSA-6517-1 لديبيان 13 (trixie) في 26 سبتمبر 2026، والنشرة DLA-4809-1 لديبيان 12 (bookworm) في 1 أكتوبر. وتشمل أخطاء استهلاك الذاكرة والاستخدام بعد التحرير في HTTP/2، وثغرات تجاوز التحقق من اسم المضيف في TLS، وحالات الهروب من نموذج الصلاحيات. فإن كنت تنشر تطبيقات Node.js من حزمة nodejs في ديبيان، فهذا التحديث يعنيك.

لمحة سريعة

ما هي الثغرات

تلخص ديبيان إصلاحات trixie بأنها تخص حجب الخدمة، وتجاوز نموذج الصلاحيات، والتحقق غير الصحيح من الشهادات، وكشف المعلومات، بينما تذكر نشرة bookworm الفئات نفسها دون نموذج الصلاحيات. وتعود هذه المشكلات إلى الإصدارين الأمنيين لمشروع Node.js في يونيو 2026 ويوليو 2026:

• إيقاف العملية واستنزاف الذاكرة عن بُعد (عالية). تسمح CVE-2026-56846 لكتل ترويسات HTTP/2 المحتجزة بتجاوز الحد maxSessionMemory، وCVE-2026-56848 استخدام بعد التحرير في ذاكرة الكومة عند إعادة الدخول إلى الإرسال أثناء الاستقبال في HTTP/2، وCVE-2026-48933 توقف العملية بسبب فيض في الأعداد الصحيحة في تشفير AES ضمن WebCrypto. كما قد تؤدي CVE-2026-58042 إلى توقف dns.resolveAny() عند ردود تحتوي على عدد كبير من سجلات A.
• التحقق من الهوية في TLS. قد تتجاوز CVE-2026-48618 (عالية) فحص عمق أحرف البدل في اسم المضيف عبر فواصل نقطية بترميز Unicode. أما CVE-2026-48928 وCVE-2026-48934 وCVE-2026-56850 فتتعلق بمطابقة حالة الأحرف في SNI، وإعادة استخدام الجلسة مع اسم خادم مختلف، وإعادة استخدام هويات mTLS بين الشهادات.
• نموذج الصلاحيات. قد تمنح CVE-2026-58043 (عالية) وصولًا أوسع من المقصود إلى نظام الملفات عند استخدام --permission، ولا يهم ذلك إلا إن كنت تستخدم خيار --permission في Node لتقييد ما تصل إليه الشيفرة.
• سلوك عميل HTTP. الثغرة CVE-2026-48930 (محارف NUL في أسماء المضيفين) وCVE-2026-48931 (حالة سباق في طابور الردود ضمن http.Agent).

لماذا يختلف Node.js في ديبيان

تأتي ديبيان 13 بالإصدار Node.js 20 وديبيان 12 بالإصدار Node.js 18. ووفق جدول إصدارات Node.js انتهى دعم المشروع للإصدار 18 في 30 أبريل 2025 وللإصدار 20 في 30 أبريل 2026، ونشرتا يونيو ويوليو 2026 لا تعلنان إصدارات جديدة إلا للسلاسل 22.x و24.x و26.x، مع التنبيه إلى أن الإصدارات المنتهي دعمها تتأثر دائمًا عند صدور أي إصدار أمني. وتحافظ ديبيان على حزمها بنقل الإصلاحات إليها، وهذا يستغرق وقتًا ولا يكون كاملًا دائمًا: ففي 31 أكتوبر 2026 كان متتبع ديبيان يعرض عدة ثغرات من إصدار Node.js الأمني لشهر أكتوبر 2026، مثل CVE-2026-106072 في التحقق من اسم المضيف في TLS، كثغرات مفتوحة في الإصدارين.

هل أنت متأثر؟

apt policy nodejs
node --version
dpkg -l nodejs 'libnode*' | grep '^ii'

تعرض حزمة ديبيان الإصدار v20.19.2 أو v18.20.4، والمراجعة الخاصة بديبيان في مخرجات apt policy هي التي تخبرك بتثبيت الإصلاح. وإن أظهر node --version الإصدار 22.x أو أحدث، فإن Node.js لديك لا يأتي من أرشيف ديبيان (مثل NodeSource أو الملفات الرسمية)، فاتبع إصدارات المشروع الأصلي بدلًا من ذلك.

طريقة التحديث

sudo apt update
sudo apt install --only-upgrade nodejs libnode115   # Debian 13
sudo apt install --only-upgrade nodejs libnode108   # Debian 12

إعادة تشغيل الخدمة أم الخادم؟

لا حاجة لإعادة تشغيل الخادم. لكن كل عملية Node.js عاملة تبقى على الشيفرة القديمة حتى تُعاد تشغيلها، لذا أعد تشغيل خدمات تطبيقاتك، مثل sudo systemctl restart myapp لوحدة systemd، أو أمر إعادة التشغيل في مدير العمليات الذي تستخدمه.

المصادر

• security-tracker.debian.org/tracker/DSA-6517-1
• debian.org/security/2026/dsa-6517
• lists.debian.org/debian-security-announce/2026/msg00430.html
• security-tracker.debian.org/tracker/DLA-4809-1
• lists.debian.org/debian-lts-announce/2026/10/msg00001.html
• security-tracker.debian.org/tracker/source-package/nodejs
• nodejs.org/en/blog/vulnerability/june-2026-security-releases
• nodejs.org/en/blog/vulnerability/july-2026-security-releases
• nodejs.org/en/blog/vulnerability/october-2026-security-releases
• github.com/nodejs/Release
• raw.githubusercontent.com/nodejs/Release/main/schedule.json
• cve.org/CVERecord?id=CVE-2026-48618
• cve.org/CVERecord?id=CVE-2026-56848
• cve.org/CVERecord?id=CVE-2026-58043
• cve.org/CVERecord?id=CVE-2026-106072
• packages.debian.org/source/trixie/nodejs
• packages.debian.org/source/bookworm/nodejs
• cisa.gov/known-exploited-vulnerabilities-catalog