La vérification d’identité TLS peut comparer le certificat à une adresse IPv4 différente de celle utilisée pour la connexion lorsque l’hôte contient un octet IPv4 avec un zéro initial. Selon le système, la normalisation par Node.js et la résolution par le système d’exploitation peuvent interpréter différemment cette adresse ; les versions concernées sont Node.js 22.x, 24.x et 26.x.
Source : NVD — CVE-2026-106069
Analyse technique
Pour une forme telle que 0127.0.0.1, les règles WHATWG peuvent interpréter l’octet initial comme octal tandis que le résolveur du système l’interprète en décimal ; tls.checkServerIdentity() peut donc vérifier une autre adresse que celle connectée.
Impact, versions et correctif
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; utiliser des adresses IPv4 canoniques pour les connexions TLS.
Sources
Priorisation DFS : P3 · 1 source(s).