Astro @astrojs/node: Denial of Service über fehlerhaften Port im Host-Header
Zusammenfassung
Der @astrojs/node-Adapter des Web-Frameworks Astro erstellt die Request-URL aus dem Host-Header. Ein fehlerhafter Port, etwa example.com:65536, macht diese URL ungültig und löst vor dem Routing einen nicht abgefangenen TypeError aus. In der Standard-Konfiguration im Standalone-Modus antwortet der Server mit HTTP 500 und läuft weiter, mit aktivierter Option staticHeaders beendet sich der Node-Prozess jedoch. Ein nicht authentifizierter Angreifer aus dem Netz kann dadurch einen Denial of Service auslösen; Datenabfluss oder Codeausführung sind nicht möglich.
Betroffen
- @astrojs/node bis und mit 11.1.2 (gemäss GitHub-Advisory; betroffen < 11.1.3)
Behoben in
- @astrojs/node 11.1.3
- Hinweis: Das Release 11.1.3 benötigt laut Berichten Astro 7.2.1 oder neuer, weshalb eventuell auch der Astro-Core aktualisiert werden muss. Vor dem Rollout testen.
Umgehung
- Reverse Proxies oder CDNs, die fehlerhafte Host-Header ablehnen, stoppen die Anfrage, bevor sie den Node-Prozess erreicht. Dies ist eine Massnahme, kein Fix; die Wirksamkeit ist zu prüfen.
- Den Node-Server unter einem Prozess-Supervisor mit automatischem Neustart betreiben, um Ausfallzeiten zu begrenzen.
Ausnutzung
- CISA SSVC: Exploitation none, automatable no, technische Auswirkung partial.
- Keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept aus primären Quellen gefunden.
- Der Status im CISA-KEV-Katalog konnte nicht bestätigt werden; vor einer Abhängigkeit erneut prüfen.
Unsere Empfehlung
- Alle Astro-Websites mit @astrojs/node identifizieren (package-lock.json oder pnpm-lock.yaml prüfen).
- Kompatibilität des Astro-Cores prüfen und danach @astrojs/node auf 11.1.3 oder neuer aktualisieren.
- Sicherstellen, dass ein Proxy oder CDN vor dem Server fehlerhafte Host-Header ablehnt.
- Auf unerwartete Prozessneustarts und HTTP-500-Antworten achten.
- Hinweis: Der CVSS-Wert variiert je nach Quelle (CNA 4.0 8.2; GitLab 3.1 7.5); entsprechend priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-qh8j-hqjv-7m4x github.com
- Fix commit 2066f39 github.com
- Pull request #17572 github.com
- Release @astrojs/node 11.1.3 github.com
- OSV GHSA-qh8j-hqjv-7m4x osv.dev
- GitLab advisory CVE-2026-102984 advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.