Proposal: build official Node.js binaries for glibc-based Linux using PIE, enables ASLR, helps prevent RCE
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
- issue の種類
- 機能追加
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- javascript, linux, node.js
- 領域
- build-system, security
調査の方向性
Read the linked discussion in issue #33425 and compare the current Linux binary build configuration for glibc x64 with the musl and ARM builds. Assess the performance and security tradeoffs of enabling PIE for official glibc x64 binaries; done means the project has decided whether to change the build and documented the resulting scope.
索引モデルが issue の本文から書いたものです。
説明
What is the problem this feature will solve?
Almost all operating systems enable Address Space Layout Randomisation (ASLR) to help prevent memory-related vulnerabilities from reaching a state where Remote Code Execution (RCE) is possible.
To take full advantage of this protection, an executable must be compiled as a Position Independent Executable (PIE).
The current state of PIE in Node.js is as follows:
-
✅ macOS - PIE since 2020 via https://github.com/nodejs/node/pull/35704
-
⏳ Windows - PIE via
/DYNAMICBASEbeing proposed at https://github.com/nodejs/node/issues/64212 -
✅ Linux using musl libc - PIE is compiler default for all executables
-
✅ Linux using glibc where
nodebinary is compiled and provided by OS package manager - PIE is default for almost all OS-level package repositories -
❌ Linux using glibc where
nodebinary is provided by Node.js - Not PIE
What is the feature you are proposing to solve the problem?
A previous discussion from May 2020 rejected use of PIE on Linux due to a expected performance penalty of 5-10% and, at that point in time, little evidence of RCE within the Node.js ecosystem.
Given many organisations already quite happily use Node.js with PIE/ASLR, be that on macOS, via Alpine Linux based containers or OS-provided packages, is it time to revisit this discussion for those left behind?
The performance impact of PIE is negligible on 64-bit ARM CPUs, which have seen increasing adoption since 2020 e.g. AWS Graviton.
Do the security benefits of PIE now outweigh the performance cost for those still running glibc-based Linux on x64 architecture CPUs?
By way of a recent example, had this change already been in place then it's likely CVE-2026-111497 would have been rated "High" rather than "Critical" severity.
What alternatives have you considered?
If there's still a desire to provide official binaries for a subset of platforms without PIE then perhaps offering a security-hardened alternative with PIE might help raise awareness.
- 主要言語
- JavaScript
- スター
- 123k
- フォーク
- 39.9k
- 平均マージ
- 4日 14時間
- マージ済み PR（30日）
- 235
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
nodejs/node のほかの issue
-
Docs: --watch-path *is* supported on linux対応中かも @motokaneyuki が 12 日前に担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 82/100
nodejs/node#66743 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
node:internal/inspector/network_http: `TypeError: Missing dataLength` in event when response uses `setEncoding()`対応中かも @lazerg が 21 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
nodejs/node#66551 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
[Docs] `process.loadEnvFile()` does not document behaviour when variables already exist対応中かも @Sepandard が 30 日前に担当しました。 オープンdoc
難易度 1/5 1時間未満 初心者へのやさしさ 90/100
メンテナーはふだん 1 日以内に返信
-
Stream.prototype.forEach will block in first promise in queue before read more chunk対応中かも @mmustafasenoglu が 31 日前に担当しました。 オープンdoc
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
メンテナーはふだん 1 日以内に返信
-
nodejs 26.8.2 fails to build with clang/LLVM再び着手できるかも @btyagi18 が 17 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンbuild
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
nodejs/node#66076 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
似ている issue
-
enhancement p2 setup
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
Query Log shows "Upstream" for CNAME cloaking, schedule, NXDOMAIN hijack and response IP blocksオープンbug good first issue query-log web
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
ferrous-networking/ferrous-dns#326 ·
メンテナーはふだん 1 日以内に返信
-
type: typos
難易度 1/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 4 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 67/100
Ylianst/MeshCentral#8294 ·
メンテナーはふだん 1 日以内に返信