Node.js官方团队紧急发布了全版本安全更新，重点修复了其在实验性“权限模型（Permission Model）”中存在的严重访问控制绕过漏洞。攻击者若成功利用该漏洞，可彻底突破 --allow-fs-read 与 --allow-fs-write 设定的目录沙箱访问限制，非法读取或篡改主机内部的核心敏感配置文件、数据库密码以及云平台临时访问凭证。本文为您速报该漏洞的技术细节与应急处置清单。
漏洞底层成因与越权越界机制
自Node.js v20引入 --experimental-permission 标志以来，官方旨在为JavaScript运行时赋予类似Deno的细粒度最小权限防护能力。
然而审计发现，底层路径规范化（Path Normalization）函数在处理包含特殊字符与符号链接的相对路径时存在逻辑缺陷。攻击者可通过恶意npm第三方包在子线程中构造越界文件描述符，轻松逃逸受限工作目录，直接触达宿主机的 /etc/shadow 或私有SSH密钥文件。
受影响版本及补丁发布情况
- Node.js v22.x 分支: 需即刻部署官方最新发布的次版本安全补丁。
- Node.js v20.x (长期支持版 LTS): 企业生产环境及Serverless函数计算平台应优先安排升级。
- Node.js v18.x 分支: 需同步审查旧版维护分支的向后移植修复补丁。
运维安全团队与开发人员应急处置SOP
- 资产全盘点与版本核查: 通过执行
node -v快速排查线上生产集群、K8s Pod基础镜像以及本地CI构建流水线的运行时版本。 - 多层纵深防御加固: 严禁将
--experimental-permission视为唯一的安全边界。在容器编排层面，应强制启用只读根文件系统（Read-Only Root FS）并剥离非必要的Linux特权（Drop Linux Capabilities）。 - 供应链依赖安全扫描: 运行
npm audit或集成Snyk/Trivy扫描器，全量排查第三方依赖树中是否存在试图进行路径遍历的投毒脚本。