Softver: Node.js krpi 10 ranjivosti, GitHub uvodi filter za npm pakete

Ove nedelje najvažnije softverske novosti dolaze iz iste oblasti: bezbednost paketa i pristupnih ključeva. Node.js je zakrpio deset ranjivosti, a GitHub je predstavio filter za zlonamerne npm pakete i tokene koji sami ističu. Evo šta je važno ako vaša firma ima veb aplikaciju, prodavnicu ili interni softver.

Node.js: deset zakrpa, jedna otvara vrata napadaču

Projekat Node.js je 21. oktobra objavio bezbednosna izdanja 22.23.4, 24.22.1 i 26.12.1. Ispravljeno je deset ranjivosti: četiri visokog, tri srednjeg i tri niskog nivoa.

Najozbiljnija (CVE-2026-111497) nalazi se u ugrađenom Brotli dekoderu. Namerno pokvaren kompresovani sadržaj koji prođe kroz node:zlib može da sruši proces, otkrije sadržaj memorije ili omogući izvršavanje tuđeg koda. Preostale tri visoke ranjivosti tiču se provere domena i IP adresa: DNS funkcije skraćuju ime na NUL bajtu, pa se lista dozvoljenih domena može zaobići, a TLS provera pogrešno tumači neke zapise IP adresa, na primer one sa vodećom nulom.

Ista izdanja ažuriraju ugrađene biblioteke c-ares, OpenSSL, SQLite i Undici, kao i spisak korenskih sertifikata, zbog kompromitovanog posredničkog sertifikata izdavaoca eMudhra. Verzije kojima je istekla podrška ne dobijaju ispravke.

GitHub: filter za npm pakete pre instalacije

GitHub je 20. oktobra pustio u javni pregled package firewall. On stoji između vaših računara, CI/CD servera ili AI agenata za programiranje i javnog registra paketa. Pri svakoj instalaciji proverava da li je paket u GitHub bazi upozorenja označen kao zlonameran ili ranjiv i da li postoje znaci napada na lanac snabdevanja. Administrator može da zada period čekanja, pa se sveže objavljene verzije ne instaliraju odmah. Ako je paket greškom blokiran, korisnik može da zatraži izuzetak.

Za sada radi samo za npm i samo za korisnike GitHub Enterprise Cloud-a. Tokom pregleda je besplatan, a posle zvaničnog izlaska naplaćivaće se po potrošnji, slično kao GitHub Actions.

GitHub: manje ključeva bez roka trajanja

Od 21. oktobra GitHub CLI (verzija 2.103.0 ili novija) može da koristi pristupni token koji ističe za nekoliko sati i sam se obnavlja. Uključuje se komandom gh auth login --expiring, a za sve buduće prijave komandom gh config set expiring_credentials enabled. Ako takav token procuri, prestaje da važi za nekoliko sati, umesto da radi neograničeno. GitHub najavljuje da će ovo kasnije postati podrazumevano.

Od 23. oktobra opšte je dostupna i instalacija GitHub aplikacija na nivou cele enterprise organizacije. Uz nove dozvole za pravila repozitorijuma, dvofaktorsku proveru i liste dozvoljenih IP adresa, aplikacije mogu da zamene klasične lične tokene (classic PAT) u većem delu automatizacije.

Sitnije, ali korisno: od 20. oktobra sva klasična pravila zaštite grana u repozitorijumu mogu jednim potezom da se prebace u rulesets, a Dependabot sada podržava npm 12, pnpm 11 i 12 i Bun 1.4.

Šta to znači za vašu firmu

1. Ažurirajte Node.js ove nedelje. Ako vaš sajt, prodavnica ili API radi na Node.js-u, pređite na 22.23.4, 24.22.1 ili 26.12.1 i ponovo izgradite Docker slike i pakete u kojima je Node.js ugrađen. Ako koristite verziju bez podrške, isplanirajte prelazak na podržanu.
2. Ne instalirajte pakete naslepo. Uvedite pravilo da nove verzije zavisnosti sačekaju nekoliko dana pre upotrebe i da se verzije zaključavaju u lockfile. Na Enterprise Cloud-u to može da radi package firewall, a na manjim planovima isto pravilo se uvodi u alate i proces tima.
3. Zamenite trajne tokene. Napravite spisak mesta gde se koriste lični tokeni bez roka važenja i zamenite ih GitHub aplikacijama ili kratkotrajnim tokenima.

Ako želite da proverimo bezbednost i održavanje vašeg softvera, pogledajte našu uslugu izrade softvera po meri ili nam pišite.