Angular Router: Denial of Service über numerische Matrixparameter in SSR
Zusammenfassung
Der Angular-Router (@angular/router) kann beim Parsen von URLs während des serverseitigen Renderings (SSR) auf Node.js übermässig viel Speicher belegen. Ein nicht authentifizierter Angreifer kann parallele Anfragen mit wiederholten numerischen Matrixparametern senden, wodurch der Heap von Node.js erschöpft und der SSR-Worker beendet wird. Reine clientseitige Angular-Anwendungen sind nicht betroffen. Der CVSS-4.0-Basiswert beträgt 8.2 (High), die Auswirkung beschränkt sich auf die Verfügbarkeit.
Betroffen
- @angular/router bis und mit 19.2.25 (kein bekanntes behobenes 19.x-Release)
- @angular/router >= 20.0.0, < 20.3.32
- @angular/router >= 21.0.0, < 21.2.24
- @angular/router >= 22.0.0, < 22.2.0
Nur Anwendungen mit aktiviertem SSR auf Node.js sind betroffen.
Behoben in
- 20.3.32
- 21.2.24
- 22.2.0
Ein behobenes 19.x-Release ist unbekannt. Die Herstellerhinweise zu Angular 19 prüfen.
Umgehung
- Semikolons in Request-Pfaden am Reverse Proxy oder an der WAF blockieren oder entfernen, bevor der Datenverkehr den Angular-SSR-Dienst erreicht. Vorgängig testen, da legitime Matrixparameter brechen können.
- SSR für die betroffene Anwendung deaktivieren, falls kein Patch möglich ist.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Angular-Anwendungen SSR auf Node.js verwenden (zum Beispiel über @angular/ssr) und aus dem Internet erreichbar sind.
- @angular/router auf 20.3.32, 21.2.24 oder 22.2.0 aktualisieren oder auf das neueste Patch-Release dieser Linien.
- Für Angular 19 und älter die Herstellerhinweise einholen und bis dahin einen Proxy-Filter anwenden.
- Neustarts des SSR-Workers und den Speicherverbrauch auf Anzeichen von Angriffen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-ff3f-86qr-9cv3 github.com
- GitHub Advisory Database GHSA-ff3f-86qr-9cv3 github.com
- Angular 20.3.32 release github.com
- Angular 21.2.24 release github.com
- Angular 22.2.0 release github.com
- Fix commit 03872a80 (angular/angular) github.com
- OSV CVE-2026-101896 osv.dev
- GitLab Advisory Database CVE-2026-101896 advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:25.
Referenzen der NVD (9)
- https://github.com/angular/angular/commit/03872a80bcf1c89b2b04cdd3f444b2ee954da583
- https://github.com/angular/angular/commit/5af61216eab8bf4a6697a1d79bda3d857c06f89d
- https://github.com/angular/angular/commit/ddfe21072ba32ca4cd9d7d3c6b7df66af81d58c4
- https://github.com/angular/angular/issues/70716
- https://github.com/angular/angular/pull/70717
- https://github.com/angular/angular/releases/tag/v20.3.32
- https://github.com/angular/angular/releases/tag/v21.2.24
- https://github.com/angular/angular/releases/tag/v22.2.0
- https://github.com/angular/angular/security/advisories/GHSA-ff3f-86qr-9cv3
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.