Node.js v22.4.1 安全发布解读五大 CVE 修复、分发工件清单与 nodejs.org 官方文档机制【免费下载链接】nodejs.orgThe Node.js® Website项目地址: https://gitcode.com/GitHub_Trending/no/nodejs.org本文以 nodejs.org 官网仓库中的发布文档apps/site/pages/en/blog/release/v22.4.1.md为主体完整还原 2024-07-08 发布的 Node.js 22.4.1Current安全版本它修复了 5 个 CVE1 高危、1 中危、3 低危、包含的 5 个修复提交、覆盖 13 个平台的下载工件矩阵以及完整的 PGP 签名 SHA256 校验清单并结合官网仓库源码讲解这类发布文档是如何由自动化脚本生成的读者可以掌握“阅读一次官方安全发布 → 定位受影响版本 → 校验下载完整性”的完整工作流。一、发布定位文档结构与元数据该发布文档的 YAML frontmatter 定义了它在 nodejs.org 站点中的呈现方式--- date: 2024-07-09T02:31:49.222Z category: release title: Node.js 22.4.1 (Current) layout: blog-post author: Rafael Gonzaga ---date发布时间UTC 时间戳决定博客列表中的排序category: release将本文归入官网“发布Release”栏目layout: blog-post套用博客长文版式author发布经理Release ManagerRafael Gonzaga其 GitHub 用户名为RafaelGSS。正文章节以## 2024-07-08, Version 22.4.1 (Current), RafaelGSS开头并注明“This is a security release.”—— 这是一个纯安全版本不含新功能仅包含安全修复与相应提交。在 nodejs.org 仓库中frontmatter 会被构建脚本 generate.mjs 逐行流式读取只读到第二个---分隔符即停止以优化数千个 Markdown 文件的解析开销随后用 gray-matter 解析出title、author、date、category等字段并派生出 URL slug// 来自 apps/site/scripts/blog-data/generate.mjs const slug /blog/${category}/${basename(filename, extname(filename))};因此文件名v22.4.1.md对应站点路径/blog/release/v22.4.1类别集合则为[release, year-2024, all]。这套机制解释了为什么发布文档的文件命名v{version}.md直接决定了其站点 URL。二、本次安全发布修复的 5 个 CVENotable Changes原文档 “Notable Changes” 一节列出了全部 5 个漏洞按严重程度排序如下CVE 编号严重程度一句话描述受影响发布线CVE-2024-36138High高危CVE-2024-27980 的不完整修复被绕过BatBadBut 类问题22.x、20.x、18.xCVE-2024-22020Medium中危通过 data URL 绕过网络导入限制22.x、20.x、18.xCVE-2024-22018Low低危fs.lstat绕过权限模型22.x、20.x使用权限模型的实验性用户CVE-2024-36137Low低危fs.fchown/fs.fchmod绕过权限模型22.x、20.x使用权限模型的实验性用户CVE-2024-37372Low低危权限模型对 UNC 路径处理不当22.x、20.xWindows 上的权限模型用户各漏洞的详细技术背景可在同一仓库的安全公告文档 july-2024-security-releases.md 中找到要点如下CVE-2024-36138HighCVE-2024-27980 是针对 Windows 批处理文件BatBadBut缺陷的修复但该修复不完整。攻击者仍可利用child_process.spawn/child_process.spawnSync在处理带有各种扩展名的批处理文件时通过恶意命令行参数注入任意命令实现代码执行——即使未启用shell选项。该漏洞影响所有活动发布线22.x、20.x、18.x上的 Windows 用户。报告者为 tianst修复由 RafaelGSS 完成。CVE-2024-22020MediumNode.js 对 ESM 网络导入的限制可被绕过——攻击者把非网络导入嵌入data:URL 中从而执行任意代码。修复方式是在网络导入中禁止 data URL。影响 22.x、20.x、18.x 全部活动发布线。报告者为 dittyroma。CVE-2024-22018Low权限模型Permission Model当时仍为实验特性在使用--allow-fs-read时未对fs.lstat做限制攻击者可读取没有显式读权限的文件元信息。影响 Node.js 20 与 22 上使用权限模型的用户。报告者为 haxatron1。CVE-2024-36137Low权限模型并不作用于文件描述符但fs.fchown/fs.fchmod可以借由一个“只读”的文件描述符更改文件属主与权限在使用--allow-fs-write时构成绕过。影响 Node.js 20 与 22 上使用权限模型的用户。报告者为 4xpl0r3r。CVE-2024-37372Low权限模型假定所有以双反斜杠开头的路径都带有可忽略的四字符前缀但这并不总成立UNC 路径的边界情况导致 Windows 上的权限检查存在漏洞。影响 v22.x 与 v20.x 的 Windows 权限模型用户。报告者为 tniessen。注意三个低危漏洞均与实验性权限模型相关官方在公告中特别提示“permission model 是实验特性”对未启用--experimental-permission的用户影响有限。三、修复提交清单Commits与 CVE 对应关系原文档列出了 v22.4.1 包含的 5 个提交哈希为 nodejs/node 上游仓库中的提交号逐条与上面的 CVE 一一对应提交哈希模块提交信息对应 CVE110902ff5elib, esmhandle bypass network-import via data:CVE-2024-220200a0de3d491lib, permissionsupport fs.lstatCVE-2024-2201893574335fflib, permissiondisable fchmod/fchown when pm enabledCVE-2024-3613709899e6302srchandle permissive extension on cmd checkCVE-2024-361385d9c811634src, permissionfix UNC path resolutionCVE-2024-37372从提交前缀可以看出修复落点lib, esm对应 ESM 加载器层的 data URL 拦截lib, permission对应权限模型 JS 层fs.lstat放行、fchmod/fchown禁用src对应 C 层的命令扩展名检查BatBadBut 修复与 UNC 路径解析。前缀为nodejs-private来源的 PR 说明这些修复先在 Node.js 私有仓库完成再同步回公共仓库——这是 Node.js 安全发布流程的常规做法。同一批次中另外两条发布线的修复提交可在 v20.15.1.md 与 v18.20.4.md 中对照查看。值得注意的是 20.15.1 比 22.4.1 多出一个提交484cb0f13csrc,permission: resolve path on fs_permission说明 LTS 线额外携带了一个上游权限模型修复。四、下载工件矩阵13 平台分发原文档列出的完整分发工件清单如下全部位于https://nodejs.org/dist/v22.4.1/目录下平台工件类型下载地址Windows 32-bitInstaller (.msi)https://nodejs.org/dist/v22.4.1/node-v22.4.1-x86.msiWindows 64-bitInstaller (.msi)https://nodejs.org/dist/v22.4.1/node-v22.4.1-x64.msiWindows ARM 64-bitInstaller (.msi)https://nodejs.org/dist/v22.4.1/node-v22.4.1-arm64.msiWindows 32-bit二进制 (node.exe)https://nodejs.org/dist/v22.4.1/win-x86/node.exeWindows 64-bit二进制 (node.exe)https://nodejs.org/dist/v22.4.1/win-x64/node.exeWindows ARM 64-bit二进制 (node.exe)https://nodejs.org/dist/v22.4.1/win-arm64/node.exemacOS 64-bitInstaller (.pkg)https://nodejs.org/dist/v22.4.1/node-v22.4.1.pkgmacOS Apple Silicon 64-bit二进制 (.tar.gz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-darwin-arm64.tar.gzmacOS Intel 64-bit二进制 (.tar.gz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-darwin-x64.tar.gzLinux 64-bit二进制 (.tar.xz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-linux-x64.tar.xzLinux PPC LE 64-bit二进制 (.tar.xz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-linux-ppc64le.tar.xzLinux s390x 64-bit二进制 (.tar.xz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-linux-s390x.tar.xzAIX 64-bit二进制 (.tar.gz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-aix-ppc64.tar.gzARMv7 32-bit二进制 (.tar.xz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-linux-armv7l.tar.xzARMv8 64-bit二进制 (.tar.xz)https://nodejs.org/dist/v22.4.1/node-v22.4.1-linux-arm64.tar.xz源码Source Code (.tar.gz)https://nodejs.org/dist/v22.4.1/node-v22.4.1.tar.gz其余发布文件.zip/.7z 打包、headers、PDB 等位于https://nodejs.org/dist/v22.4.1/API 文档位于https://nodejs.org/docs/v22.4.1/api/。这份清单并非手写而是由仓库内的 downloadsTable.mjs 按模板 URL 生成的。该文件维护了一份 16 项的下载项配置并用 semver 做平台裁剪例如// 来自 apps/site/scripts/release-post/downloadsTable.mjs if (semVer.satisfies(version, 16.0.0)) { // 过滤掉 macOS Apple Silicon 64-bit Binary } if (semVer.satisfies(version, 23.0.0)) { // 过滤掉 Windows 32-bit 安装程序与二进制 } if (semVer.satisfies(version, 24.0.0)) { // 过滤掉 ARMv7 32-bit Binary }这解释了为什么 v22.4.1 的清单同时包含 Windows x86 与 ARMv7 工件两者都在 v22 的分发矩阵内也为理解后续版本清单差异提供了依据。生成博客时脚本会对每个 URL 发起HEAD请求做可达性校验成功则输出标题: URL失败则输出标题: *Coming soon*见 index.mjs 的urlOrComingSoon保证发布文档中的链接在发布时点是真实可下载的。五、SHASUMSPGP 签名的 SHA256 完整性校验原文档附带的完整SHASUMS256.txt.ascPGP 签名块是校验下载完整性的权威依据节选核心工件哈希如下完整 40 项清单见原文档-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 e85039bcb298c7a7c9324aebad3f0fb2c472de4c5cedf9016c37f954687a22a8 node-v22.4.1-linux-x64.tar.xz 64aae9256cdffddbf535a7f6d30c5d2d4a8e01eafb035ab743203e402c68663b node-v22.4.1-darwin-x64.tar.gz 8bc5f7f98575146b73b0cf99d2246e32faaa0f0865cc24cc706d05fdf8d99aeb node-v22.4.1-darwin-arm64.tar.xz 82ab3431a35b68572d55f7a10049d8cdfe0f3d01a9f085daed4e7fa4caa9f26e node-v22.4.1-x64.msi 88966c6db8fcbdb5f9f816d175641071f3de3b8cb332f7e5c1f28636ba01d2d1 node-v22.4.1.pkg b3051c3358c96d06dd17305c065cc6f5205c1f4d72dd42cb184f7ba79605f8a8 node-v22.4.1.tar.gz 9769486f6311f0e12583a4603f926053e0ab6a899126afd15cd2e7bb9184509f win-x64/node.exe 9769486f6311f0e12583a4603f926053e0ab6a899126afd15cd2e7bb9184509f win-x64/node.exe -----END PGP SIGNATURE-----完整哈希表还包括 aix-ppc64、arm64.msi、linux-arm64/armv7l/ppc64le/s390x 各压缩格式、headers 包、win 各架构的 .zip/.7z 及 node.lib/node_pdb 等条目PGP 签名块以iQGzBAEBCAAd...起始原文档第 50–109 行给出了全部数据。对安全发布而言这个清单的用法是下载目标工件后用sha256sumLinux/macOS或等效工具比对哈希并验证 Node.js Release Manager 的 PGP 签名以确认工件未被篡改。以 Linux x64 为例# 下载并校验 curl -fO https://nodejs.org/dist/v22.4.1/node-v22.4.1-linux-x64.tar.xz sha256sum -c SHASUMS256.txt # 其中 SHASUMS256.txt 由 SHASUMS256.txt.asc 去签名得到哈希来源在仓库中同样有对应实现index.mjs 的fetchShasums直接从https://nodejs.org/dist/v{version}/SHASUMS256.txt.asc抓取签名文件并原样嵌入发布文档抓取失败时写入占位符[INSERT SHASUMS HERE]提醒人工补全。六、这篇发布文档是如何被 nodejs.org 自动生成的理解 apps/site/scripts/release-post/index.mjs 可以完整解释 v22.4.1.md 的每个字段从何而来。其用法为node index.mjs [version]省略版本时从https://nodejs.org/dist/index.json取最新版本主要流程是五个并行数据抓取任务再经模板渲染fetchChangelog从 Node.js 上游 changelogdoc/changelogs/CHANGELOG_V22.md中用正则a id22.4.1/a...截取该版本小节——这就是正文中## 2024-07-08, Version 22.4.1 (Current), RafaelGSS、Notable Changes 与 Commits 两节的来源其中星号列表会被统一替换为短横线见fetchChangelogBodyfetchAuthor从 changelog 标题正则提取RafaelGSS后查询 GitHub API 得到显示名 “Rafael Gonzaga” 写入 frontmatter 的author字段fetchVersionPolicy用正则\(([^)])\)提取版本策略(Current)——因此 v22.4.1 的标题带 “(Current)”而同批的 v20.15.1 标题为 “(LTS)”fetchShasums抓取 PGP 签名的 SHASUMS第五节已述verifyDownloads对 downloadsTable 生成的 16 条工件 URL 做 HEAD 校验第四节已述。数据齐全后renderPost使用 Handlebars 模板 template.hbs 组装出 frontmatter、changelog、下载列表模板中对每个文件行尾追加\实现 Markdown 软换行这正是原文档下载区每行末尾都有反斜杠的原因和 SHASUMS 代码块随后formatPost用 Prettier 以markdownparser 规范化排版writeToFile最终写入pages/en/blog/release/v22.4.1.md。几个值得注意的实现细节防重复若目标文件已存在且未传--force/-f脚本抛出RELEASE_EXISTS错误避免覆盖已发布的文章CI 集成fetchAuthor检测到GITHUB_OUTPUT环境变量时会把发布经理的 GitHub 用户名写入 CI 输出供后续给 Pull Request 自动指派明确错误域ERRORS对象集中定义了 NO_VERSION_PROVIDED、NO_CHANGELOG_FOUND、NO_VERSION_POLICY 等错误覆盖了“changelog 中找不到该版本”“changelog 中找不到版本策略”等边界情况。七、小结v22.4.1 是一次典型的 Node.js 安全发布文档主体由 changelog 自动生成核心价值在于三组可审计信息——5 个 CVE 及其严重程度1 High / 1 Medium / 3 Low其中高危的 BatBadBut 绕过 CVE-2024-36138 影响所有 Windows 用户、5 个可溯源的修复提交以及覆盖 13 平台的工件 URL 矩阵与 PGP 签名 SHA256 清单。同一安全批次中20.x 与 18.x 分别发布了 v20.15.1LTS与 v18.20.4三者共享相同的核心 CVE 集合而三个低危漏洞仅影响启用了实验性权限模型的用户。对运维方而言升级 22.x 至 v22.4.1或对应发布线的补丁版本并用第五节的 SHASUMS 完成完整性校验即完成本次安全事件的全部处置。相关文档与脚本均可在本仓库中继续深入阅读发布文档模板位于 template.hbs安全公告全文位于 july-2024-security-releases.md。【免费下载链接】nodejs.orgThe Node.js® Website项目地址: https://gitcode.com/GitHub_Trending/no/nodejs.org创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考