Nodemailer: Denial of Service durch quadratische Verarbeitung von SMTP-Antworten
Zusammenfassung
Nodemailer, eine npm-Bibliothek zum Versenden von E-Mails aus Node.js, verarbeitet mehrzeilige SMTP-Serverantworten mit quadratischer Komplexität. Ein böswilliger SMTP-Server oder ein Angreifer auf dem Übertragungsweg kann Fortsetzungszeilen ohne abschliessende Zeile senden, wodurch die Event-Loop von Node.js blockiert und der Speicher des sendenden Prozesses erschöpft wird. Der Angriff funktioniert vor der Authentifizierung, daher sind keine Client-Zugangsdaten nötig, und er betrifft alle anderen Aufgaben des betroffenen Prozesses.
Betroffen
- nodemailer >= 3.0.0 und <= 10.0.9
- Linux-Distributionspakete (node-nodemailer) sind in Prüfung; der Status variiert je nach Distribution.
Behoben in
- nodemailer 10.0.10 (Fix-Commit f2d82fa84d47015a7bbb4253da61eeb778c658b1)
- Neuere Versionen beheben zusätzlich weitere DoS-Advisories zu Nodemailer; das Ziel ist die neueste 10.x-Version.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- SMTP-Server auf eine feste, vertrauenswürdige Liste beschränken und Benutzern oder Mandanten das Setzen von SMTP-Servern nicht erlauben.
- Implizites TLS zu bekannten Relays bevorzugen, da das Zeitfenster des Angriffs den unverschlüsselten Abschnitt vor STARTTLS umfasst.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein, technische Auswirkung: teilweise.
- Eine öffentliche Proof-of-Concept-Beschreibung existiert.
- Es wurde keine Ausnutzung in freier Wildbahn gemeldet; der CISA-KEV-Katalog wurde nicht geprüft.
Unsere Empfehlung
- Nodemailer auf 10.0.10 oder neuer (vorzugsweise die neueste 10.x-Version) in allen Anwendungen aktualisieren und Lock-Dateien auf transitive Abhängigkeiten prüfen.
- Bis zur Behebung SMTP-Server auf vertrauenswürdige Server beschränken und benutzerdefinierte SMTP-Endpunkte vermeiden.
- Speicherverbrauch und Event-Loop-Verhalten von Diensten überwachen, die E-Mails versenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4g23-2xm8-66gc github.com
- VulnCheck advisory www.vulncheck.com
- Ubuntu security tracker CVE-2026-110872 ubuntu.com
- OSV GHSA-4g23-2xm8-66gc osv.dev
- GitLab advisory GHSA-4g23-2xm8-66gc advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.