Node.js Blog
·
OpenSSL安全公告评估，2026年1月
内容提要
Node.js项目评估了OpenSSL的安全公告，发现三项低至中等严重性的CVE漏洞，主要影响PFX证书文件处理。由于攻击面有限，相关更新将包含在即将发布的常规版本中，其他九项CVE不影响Node.js。
关键要点
-
Node.js项目评估了OpenSSL的安全公告，发现三项低至中等严重性的CVE漏洞。
-
这三项漏洞主要影响PFX证书文件的处理。
-
由于攻击面有限，相关更新将包含在即将发布的常规版本中。
-
其他九项CVE不影响Node.js的任何分支。
-
Node.js不使用CMS API，因此与CVE-2025-15467无关。
-
Node.js从未调用SSL_CIPHER_find()，因此与CVE-2025-15468无关。
-
Node.js构建时禁用了证书压缩，因此与CVE-2025-66199无关。
-
Node.js使用EVP API，避免了与CVE-2025-69418相关的漏洞。
-
Node.js不调用PKCS12_get_friendlyname函数，因此与CVE-2025-69419无关。
-
Node.js不使用时间戳协议API，因此与CVE-2025-69420无关。
-
Node.js不调用PKCS#7签名验证API，因此与CVE-2026-22796无关。
-
Node.js的安全政策和漏洞报告信息可在其GitHub页面找到。
延伸解读
漏洞影响范围
Node.js项目评估发现的三项CVE漏洞主要影响PFX证书文件的处理。这些漏洞的攻击面相对有限，因为PFX文件通常来自可信的本地源，如私钥和证书。因此，实际风险较低，用户在使用Node.js时可以相对放心。
更新策略
由于漏洞影响较小，Node.js决定将相关的OpenSSL更新包含在即将发布的常规版本中，而不是单独发布安全更新。这一策略表明Node.js团队对漏洞的评估和处理方式，用户应关注即将发布的版本以确保安全性。
与其他CVE的关系
在此次评估中，其他九项CVE并不影响Node.js的任何分支。这表明Node.js在安全性方面的设计和实现较为稳健，用户可以通过关注Node.js的安全政策和漏洞报告信息，及时了解潜在的安全风险。
延伸问答
Node.js项目评估了哪些OpenSSL的安全公告？
Node.js项目评估了OpenSSL的安全公告，发现三项低至中等严重性的CVE漏洞。
这三项CVE漏洞主要影响什么？
这三项漏洞主要影响PFX证书文件的处理。
Node.js将如何处理这些安全漏洞？
由于攻击面有限，相关更新将包含在即将发布的常规版本中。
哪些CVE漏洞不影响Node.js？
其他九项CVE不影响Node.js的任何分支。
Node.js与CVE-2025-15467漏洞有何关系？
Node.js不使用CMS API，因此与CVE-2025-15467无关。
Node.js的安全政策在哪里可以找到？
Node.js的安全政策和漏洞报告信息可在其GitHub页面找到。
