OpenSSL和zlib更新评估，以及Node.js评估工作流程
内容提要
OpenSSL和zlib的安全漏洞不会影响任何活跃的Node.js版本。Node.js安全团队已建立自动化工作流程，以快速应对所有公共CVE漏洞，缩短安全发布与评估之间的时间差。有关安全政策和漏洞报告的信息可在Node.js的GitHub页面找到。
延伸解读
漏洞不影响Node.js的技术原因
文章具体解释了为何OpenSSL和zlib漏洞不影响Node.js。对于OpenSSL漏洞，Node.js未调用EVP_CIPHER_meth_new(NID_undef, ...)；对于zlib漏洞（CVE-2022-37434），Node.js未调用inflateGetHeader。因此，尽管依赖存在漏洞，但Node.js代码路径未触发，故不受影响。这体现了评估基于实际调用情况，而非简单依赖版本。
自动化工作流程的意义
Node.js安全团队建立了自动化工作流程，旨在处理所有公共CVE漏洞，缩短依赖安全发布与Node.js评估之间的时间差。该流程通过nodejs-dependency-vuln-assessments仓库的issue进行，提高了响应效率。对于关注安全补丁的开发者，建议watch该仓库以获取最新评估。
如何获取安全信息与报告漏洞
文章提供了获取Node.js安全政策和漏洞报告信息的途径：安全政策位于GitHub的nodejs/node/security/policy，漏洞报告方法也在其中。此外，可订阅nodejs-sec邮件列表（低流量、仅公告）以获取安全漏洞和Node.js安全相关发布的最新信息。这些资源有助于开发者及时了解安全动态。
Q&A
OpenSSL和zlib的安全漏洞会影响Node.js吗？
不会，OpenSSL和zlib的安全漏洞不会影响任何活跃的Node.js版本。
Node.js安全团队如何应对公共CVE漏洞？
Node.js安全团队建立了自动化工作流程，以快速应对所有公共CVE漏洞。
Node.js的安全发布与评估之间的时间差如何缩短？
通过建立自动化工作流程，Node.js旨在缩短安全发布与评估之间的时间差。
在哪里可以找到Node.js的安全政策和漏洞报告信息？
Node.js的安全政策和漏洞报告信息可以在其GitHub页面找到。
Node.js是否受到CVE-2022-37434漏洞的影响？
Node.js不受CVE-2022-37434漏洞的影响，因为它不调用inflateGetHeader。
如何订阅Node.js的安全公告？
可以订阅nodejs-sec邮件列表，以获取Node.js安全漏洞和相关发布的最新信息。
