sharp: Use-after-free in eingebundener librsvg ermöglicht Codeausführung

Zusammenfassung

Die Node.js-Bildbibliothek sharp vor 0.35.5 enthält librsvg, die eine speicherbezogene Use-after-free-Schwachstelle aufweist (CVE-2026-96889, CWE-416). Dekodiert sharp ein präpariertes SVG-Bild, kann ein Angreifer unter bestimmten laufzeitspezifischen Bedingungen auf glibc-basierten Linux-Systemen beliebigen Code ausführen. Eine Authentifizierung oder Benutzerinteraktion ist nicht nötig, der Angreifer muss jedoch ein SVG-Bild an sharp übermitteln, beispielsweise über einen Upload oder eine Skalierungsfunktion.

Betroffen

• sharp-Versionen vor 0.35.5 (npm-Paket sharp)
• Eingebundene Abhängigkeit librsvg (CVE-2026-96889)

Behoben in

• sharp 0.35.5 oder neuer (enthält librsvg 2.63.2)
• Global installierte librsvg: 2.63.2 oder neuer (GNOME-Sicherheitsreleases 2.57.5 und 2.61.5 existieren ebenfalls)
• Linux-Distributionen: Update von librsvg beim Hersteller prüfen, da die Fix-Versionen nicht für alle Distributionen verifiziert wurden

Umgehung

• Dekodierung von SVG-Bildern durch sharp unterbinden, wie im Herstellerhinweis beschrieben: sharp.block({ operation: ["VipsForeignLoadSvg"] });
• SVG-Uploads ablehnen, bevor sie die Bildverarbeitung erreichen.
• Eine Position Independent Executable (PIE) Node.js-Binärdatei verwenden, um das RCE-Risiko zu senken; die offiziellen Node.js-Binärdateien sind nicht PIE.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn bekannt; der CISA-KEV-Katalog wurde nicht geprüft.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle sharp-Installationen erfassen, einschliesslich transitiver Abhängigkeiten und Container-Images (zum Beispiel mit npm ls sharp).
• Auf sharp 0.35.5 oder neuer aktualisieren und Container neu erstellen.
• Falls die Anwendung vom Benutzer bereitgestellte SVG-Dateien verarbeitet, SVG bis zur Aktualisierung blockieren.
• Auf eine Aufnahme in den CISA-KEV-Katalog und Herstellerupdates achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wq5f-xc86-pv6w (lovell/sharp) github.com
• VulnCheck advisory: Sharp before 0.35.5 RCE via librsvg dependency www.vulncheck.com
• GNOME librsvg release 2.61.5 github.com
• GNOME librsvg release 2.57.5 github.com
• SentinelOne vulnerability database: CVE-2026-96889 www.sentinelone.com
• GitLab advisory mirror GHSA-wq5f-xc86-pv6w advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:27.