Verschiedene Lücken in der plattformübergreifenden JavaScript-Laufzeitumgebung node.js erfordern ein Sicherheitsupdate.
Zwei Sicherheitslücken sind von den Entwicklern in ihrer Ankündigung mit hohem Risiko bewertet worden. Eine davon ermöglicht eine durch manipulierte IP-Adressen fälschlich ausgelöste DNS-Abfrage. Die wiederum lasse sich von einem Angreifer ausnutzen, der wahlweise die Kontrolle über den DNS-Server hat oder eine Man-in-the-Middle-Position. Damit könne er DNS-Antworten fälschen, um einen Rebinding-Angriff durchzuführen und sich so mit dem WebSocket-Debugger zu verbinden, was dann die Ausführung von beliebigem Code ermögliche.
Eine weitere Lücke mit hohem Risiko betrifft nur Windows. Dort lässt sich unter bestimmten Umständen eine Suche nach einer DLL auslösen, die ein Angreifer manipuliert haben könnte. Weiter fünf Lücken, die mit dem Update geschlossen werden, gelten den Entwicklern als mittleres Risiko. In der Ankündigung sind weitere Details und die Updates genannt.
