@stablelib/cbor: Denial of Service durch Stack-Erschöpfung über tief verschachtelte CBOR-Daten

Zusammenfassung

Das npm-Paket @stablelib/cbor dekodiert CBOR-Daten, indem es verschachtelte Arrays, Maps und Tags rekursiv verarbeitet, ohne eine maximale Verschachtelungstiefe vor Version 2.0.4. Ein Angreifer, der präparierte, tief verschachtelte CBOR-Daten an eine Anwendung senden kann, die nicht vertrauenswürdige Eingaben dekodiert, kann den Aufrufstack von JavaScript erschöpfen. Dies führt zu einer Dekodierungsausnahme, die den Request-Worker oder den Prozess beenden kann, und damit zu einem Denial of Service. Eine Authentifizierung ist dort nicht erforderlich, wo der Decoder nicht vertrauenswürdige Eingaben verarbeitet.

Betroffen

• @stablelib/cbor (npm) Versionen vor 2.0.4 laut CVE-Eintrag
• Das GitHub-Advisory GHSA-5jg4-p4qw-cgfr nennt Versionen unter 2.0.3; 2.0.4 ist als Mindestversion zu betrachten

Behoben in

• 2.0.4 (Release-Tag @stablelib/cbor@2.0.4). Die Quellen widersprechen sich bezüglich 2.0.3, daher ist 2.0.4 das sichere Ziel.

Umgehung

• Den vom Decoder ausgelösten Fehler für eine zu grosse Verschachtelungstiefe abfangen, damit der Prozess nicht beendet wird (gemäss GHSA-Advisory)
• Die CBOR-Verschachtelungstiefe vor dem Aufruf des Decoders prüfen oder begrenzen; der Fix setzt ein Standardlimit von 128, konfigurierbar über die Option maxDepth
• Endpunkte, die CBOR akzeptieren, einschränken und Limits für die Request-Grösse durchsetzen (Empfehlung, nicht aus einer Quelle)

Ausnutzung

• Ein öffentlicher Proof of Concept existiert (Reproduktionsbeispiel im GHSA-Advisory); CISA SSVC führt Exploitation als poc und Automatisierbarkeit als ja, mit partieller technischer Auswirkung
• In den Quellen wurden keine Hinweise auf aktive Ausnutzung oder einen Eintrag im KEV-Katalog gefunden

Unsere Empfehlung

• @stablelib/cbor auf 2.0.4 oder neuer aktualisieren, nachdem die aktuelle Version geprüft wurde
• Prüfen, ob Ihre Anwendungen das Paket direkt oder über Abhängigkeiten verwenden (zum Beispiel mit npm ls @stablelib/cbor)
• Bis zur Behebung die Workarounds anwenden und auf unerwartete Abstürze von Workern oder Prozessen achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5jg4-p4qw-cgfr github.com
• Fix commit 0149e18 (StableLib) github.com
• Release @stablelib/cbor@2.0.4 (StableLib) github.com
• OSV entry CVE-2026-106447 osv.dev
• OSV entry GHSA-5jg4-p4qw-cgfr osv.dev
• Mend vulnerability database CVE-2026-106447 mend.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:27.