La vérification TLS peut accepter un certificat contenant uniquement un SAN DNS pour un point de terminaison IPv4 lorsque le client emploie une représentation non canonique de l’adresse. La faille touche Node.js 22.x, 24.x et 26.x et nécessite notamment un SAN DNS numérique approuvé par le client ainsi qu’un résolveur de plateforme acceptant cette représentation.
Source : NVD — CVE-2026-106072
Analyse technique
Certaines formes IPv4 non canoniques ne sont pas classées comme adresses IP par tls.checkServerIdentity(), mais sont normalisées et comparées aux noms DNS du certificat. L’exploitation requiert un certificat avec SAN DNS numérique émis par une autorité de confiance et un résolveur acceptant la forme utilisée.
Impact, versions et correctif
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; utiliser des adresses IPv4 canoniques et vérifier les SAN IP des certificats.
Sources
Priorisation DFS : P4 · 1 source(s).