2023年8月9日星期三安全更新
内容提要
Node.js 20.x、18.x 和 16.x 版本存在多个安全漏洞，包括文件权限处理不当和权限模型绕过风险。更新将于2023年8月8日发布，修复高、中、低严重性问题。用户应关注Node.js安全政策并及时更新。
延伸解读
实验性功能成为漏洞重灾区
本次安全更新中，多数漏洞与Node.js的实验性功能相关，包括策略机制（policy）和权限模型（permission model）。例如，Module._load()和module.constructor.createRequire()可绕过策略机制，而process.binding()和fs.statfs等API可绕过权限模型。这些功能在CVE发布时仍处于实验阶段，意味着其安全防护可能不够完善。使用这些实验性功能的开发者应特别关注更新，并评估是否在生产环境中启用。
各版本受影响程度差异明显
Node.js 20.x版本受漏洞影响最为严重，包含3个高严重性问题、2个中严重性问题和2个低严重性问题；而18.x和16.x版本均只有1个高严重性问题和2个中严重性问题。这表明较新的20.x版本由于引入了更多实验性功能，面临的安全风险更高。使用20.x版本的团队应优先安排更新，而18.x和16.x用户也需及时修补高严重性漏洞。
更新发布与安全政策跟进
Node.js项目计划于2023年8月8日或之后不久发布16.x、18.x和20.x的更新版本，以修复上述漏洞。更新还包括OpenSSL的安全更新。用户应关注Node.js安全政策页面，并可通过订阅nodejs-sec邮件列表获取最新安全公告。及时应用更新是降低风险的关键，尤其是对于暴露在公网的服务。
Q&A
Node.js 20.x 版本有哪些安全漏洞？
Node.js 20.x 版本存在3个高严重性问题、2个中严重性问题和2个低严重性问题。
Node.js 18.x 和 16.x 版本的安全问题有哪些？
Node.js 18.x 版本存在1个高严重性问题和2个中严重性问题；16.x 版本存在1个高严重性问题和2个中严重性问题。
Node.js的安全更新何时发布？
Node.js的安全更新将于2023年8月8日发布。
用户应该如何处理Node.js的安全漏洞？
用户应关注Node.js安全政策并及时更新到最新版本。
Node.js的安全政策在哪里可以找到？
Node.js的当前安全政策可以在/security/找到。
Node.js的安全漏洞是如何被发现和修复的？
安全漏洞是由用户报告并由开发者修复的，例如Rafael Gonzaga和其他开发者参与了修复工作。
