Node.js 開源專案團隊針對所有支援的發行版本發布了重大安全修正更新，主要修復了其「實驗性權限模型（Permission Model）」中存在的權限繞過嚴重漏洞。該漏洞若遭惡意利用，將導致由 --allow-fs-read 與 --allow-fs-write 設定的檔案存取限制形同虛設，讓未受信任的第三方套件得以非法讀取或寫入伺服器主機上的機密設定檔。本文彙整漏洞技術細節與企業端應變指南。
漏洞成因與沙箱逃逸手法剖析
自 Node.js v20 起導入的 --experimental-permission 功能，旨在於執行時期為腳本提供細緻的權限隔離機制。
然而，本次揭露的漏洞在於路徑正規化（Path Normalization）邏輯存在邊界判定疏漏。惡意攻擊者可透過精心構造的相對路徑與內部 C++ 繫結繞過，跳出指定授權的受限目錄，進而窺探主機內的敏感認證金鑰與系統帳密。
受影響之發行分支
- Node.js v22.x 系列: 必須立即更新至官方最新釋出的安全修補版。
- Node.js v20.x (長期支援版 LTS): 企業正式環境服務應列為最高優先修補排程。
- Node.js v18.x 系列: 需確認舊有維護專案之回溯修補版是否到位。
開發團隊與系統維運人員應急處置方針
- 全面盤點主機與容器版本: 執行
node -v徹查正式伺服器、Docker 基礎映像檔與 CI/CD 建置環境之 Node.js 版本。 - 落實作業系統級縱深防禦: 實驗性權限模型不應作為單一防線，必須配合 Docker 唯讀檔案系統（Read-Only Filesystem）與 seccomp 安全設定，建立多層防禦。
- 相依套件弱點掃描: 立即執行
npm audit，並運用 Trivy 等工具全面掃描專案第三方函式庫是否存在路徑穿越探測攻擊碼。