adm-zip: Denial of Service durch unbehandeltes zlib-Fehlerereignis bei asynchroner Dekomprimierung
Zusammenfassung
adm-zip, eine reine JavaScript-ZIP-Bibliothek für Node.js, bringt vor Version 0.6.1 den gesamten Node.js-Prozess zum Absturz, wenn die asynchrone Dekomprimierungs-API eine ZIP-Datei mit beschädigten DEFLATE-Daten verarbeitet. Ein nicht authentifizierter Angreifer kann dies mit einer einzigen kleinen, manipulierten Datei auslösen, die an einen Dienst hochgeladen wird, der readFileAsync, readAsTextAsync, extractAllToAsync oder getDataAsync aufruft. Der Absturz beendet alle laufenden Anfragen dieses Prozesses, während Vertraulichkeit und Integrität nicht betroffen sind.
Betroffen
- adm-zip-Versionen vor 0.6.1 (genaue betroffene ältere Versionen unbekannt; alle früheren Versionen sind als verwundbar zu behandeln)
- Betroffener Codepfad: inflateAsync in methods/inflater.js
Behoben in
- Auf adm-zip 0.6.1 oder neuer aktualisieren (Korrektur ist in 0.6.1 enthalten)
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Übergangsmassnahmen: Das Hochladen von ZIP-Dateien auf betroffenen Endpunkten einstellen, die ZIP-Extraktion in einem isolierten Worker- oder Child-Prozess ausführen und Upload-Endpunkte mit einer Ratenbegrenzung versehen.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA-KEV-Katalog gefunden.
- CISA SSVC: Ausnutzungsstatus 'poc' (Proof of Concept), automatisierbar: ja, technische Auswirkung: partiell.
- EPSS: 0.00455.
- Öffentliche PoC-Repositories werden referenziert, ihr Inhalt wurde jedoch nicht überprüft.
Unsere Empfehlung
- adm-zip auf 0.6.1 oder neuer aktualisieren, wo immer ZIP-Dateien verarbeitet werden, einschliesslich transitiver Abhängigkeiten in Lock-Dateien.
- Node.js-Dienste priorisieren, die ZIP-Uploads von nicht vertrauenswürdigen Benutzern akzeptieren.
- Prüfen, ob aus dem Internet erreichbare Dienste ZIP-Dateien akzeptieren, und die Extraktion in einen separaten Prozess auslagern.
- Auf unerwartete Abstürze und Neustarts von Node.js-Prozessen achten.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
anywaye/nilepatch-admzip-dos
Quellen der Recherche
- GitHub Security Advisory GHSA-8238-w5pm-2374 github.com
- VulnCheck advisory www.vulncheck.com
- OSV record CVE-2026-114102 osv.dev
- OSV record GHSA-8238-w5pm-2374 osv.dev
- adm-zip releases github.com
- adm-zip on npm www.npmjs.com
- Tenable CVE-2026-114102 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.