2021年7月安全更新
内容提要
Node.js的v16.x、v14.x和v12.x版本存在多个安全漏洞，包括libuv的越界读取、Windows平台的本地权限提升攻击，以及ssri和hosted-git-info模块的拒绝服务攻击。新版本将于2021年7月1日发布，用户应关注Node.js的安全政策和漏洞报告流程。
延伸解读
各版本受影响程度不同
文章指出，Node.js 16.x和14.x版本各受两个中危漏洞影响，而12.x版本则受一个高危和三个中危漏洞影响。这意味着使用较旧版本12.x的用户面临的风险相对更高，应优先考虑升级。不同版本受影响程度不同，用户需根据自身使用的版本评估风险。
Windows平台需特别注意权限配置
在Windows平台上，Node.js存在本地权限提升漏洞，攻击者可通过安装目录权限配置不当进行PATH和DLL劫持。这提醒Windows用户应检查Node.js安装目录的权限设置，确保只有授权用户可写，以降低被攻击的风险。
依赖模块的拒绝服务风险
ssri和hosted-git-info这两个npm模块存在拒绝服务漏洞，可能影响使用它们的项目。开发者应关注这些依赖的更新，及时升级到修复版本，以避免服务不可用。同时，定期审计项目依赖有助于发现类似问题。
及时获取安全更新与报告漏洞
Node.js项目计划于2021年7月1日发布所有支持版本的新版本，修复上述漏洞。用户应关注官方发布，及时升级。此外，可通过订阅nodejs-sec邮件列表获取安全公告，并按照安全政策流程报告漏洞，共同维护生态安全。
Q&A
Node.js的哪些版本存在安全漏洞？
Node.js的v16.x、v14.x和v12.x版本存在安全漏洞。
libuv的越界读取漏洞会导致什么后果？
libuv的越界读取漏洞可能导致信息泄露或崩溃。
Windows平台上Node.js的本地权限提升攻击是如何发生的？
本地权限提升攻击发生在安装目录权限配置不当时，攻击者可以进行PATH和DLL劫持。
ssri和hosted-git-info模块存在哪些安全问题？
ssri和hosted-git-info模块存在拒绝服务攻击的漏洞。
Node.js的新版本何时发布？
Node.js的新版本将在2021年7月1日发布。
如何报告Node.js的安全漏洞？
可以在Node.js的GitHub页面上按照安全政策中的流程报告漏洞。
