摘要:
nodejs security update
安全等级: High
公告ID: KylinSec-SA-2025-2567
发布日期: 2025年6月29日
关联CVE: CVE-2025-23165 CVE-2025-23166
Node.js 是一个基于 Chrome JavaScript 运行时构建的平台，用于轻松开发快速、可扩展的网络应用。Node.js 采用事件驱动、非阻塞 I/O 模型，使其轻量且高效，非常适合运行在分布式设备上的数据密集型实时应用。
安全修复：
内存泄漏漏洞
Node.js 中的 ReadFileUtf8 内部绑定由于 uv_fs_s.file 中的指针损坏而导致内存泄漏：UTF-16 路径缓冲区被分配，但在设置文件描述符时被覆盖。这导致每次调用都会发生不可恢复的内存泄漏。重复使用可能导致内存无限增长，最终引发拒绝服务。
影响范围：
该漏洞影响依赖 ReadFileUtf8 的 API，涉及 Node.js 版本：v20 和 v22。（CVE-2025-23165）
进程崩溃漏洞
C++ 方法 SignTraits::DeriveBits() 在后台线程执行时，可能基于用户提供的输入错误地调用 ThrowException()，导致 Node.js 进程崩溃。此类加密操作通常应用于不可信输入，因此攻击者可能利用此机制远程使 Node.js 运行时崩溃。（CVE-2025-23166）
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-23165 | V6 | nodejs | Fixed |
| CVE-2025-23166 | V6 | nodejs | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| nodejs-docs | noarch | 20.18.2-3.ks6 |
| nodejs | x86_64 | 20.18.2-3.ks6 |
| nodejs-devel | x86_64 | 20.18.2-3.ks6 |
| nodejs-full-i18n | x86_64 | 20.18.2-3.ks6 |
| nodejs-libs | x86_64 | 20.18.2-3.ks6 |
| npm | x86_64 | 10.8.2-1.20.18.2.3.ks6 |
| v8-devel | x86_64 | 11.3.244.8-1.20.18.2.3.ks6 |
| nodejs | aarch64 | 20.18.2-3.ks6 |
| nodejs-devel | aarch64 | 20.18.2-3.ks6 |
| nodejs-full-i18n | aarch64 | 20.18.2-3.ks6 |
| nodejs-libs | aarch64 | 20.18.2-3.ks6 |
| npm | aarch64 | 10.8.2-1.20.18.2.3.ks6 |
| v8-devel | aarch64 | 11.3.244.8-1.20.18.2.3.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
