Cisco выпустила бюллетень об уязвимостях Node.js (ветки 22.x, 24.x, 26.x), затрагивающих её продукты: переполнение буфера в Brotli-декодере с риском RCE, обрезка DNS-ответов и обход проверки хоста в TLS.
Мнение эксперта
- Для российского рынка уход Cisco не снимает риск: патчи придётся получать через параллельный импорт, а уже установленные Node.js-компоненты остаются без вендорской поддержки.
- Практический шаг интегратора — выявить у заказчиков продукты Cisco и Splunk с Node.js в составе и заложить окно обновления до ближайшего аудита ИБ.
- На фоне сложностей с патчингом зарубежного стека усиливается аргумент в пользу отечественных платформ с локальной поддержкой и предсказуемым циклом исправлений.
