sharp Node.js-Bibliothek: Mehrere libvips-Schwachstellen über GIF-, TIFF- und VIPS-Decoder
Zusammenfassung
Die Node.js-Bildbibliothek sharp vor Version 0.35.0 enthält eine verwundbare Version von libvips. Fünf libvips-Schwachstellen in den GIF-, TIFF- und VIPS-Decodern können durch manipulierte Bilddateien ausgelöst werden. Ein Angreifer, der eine solche Datei von einer sharp-basierten Anwendung verarbeiten lassen kann, kann diese möglicherweise zum Absturz bringen oder den Speicher beschädigen und unter Umständen Sicherheitsmechanismen umgehen.
Betroffen
- sharp-Versionen vor 0.35.0 (npm-Paket sharp)
- Anwendungen, die sharp zur Verarbeitung nicht vertrauenswürdiger GIF-, TIFF- oder VIPS-Dateien verwenden
- Anwendungen, die sharp einbinden, inklusive Desktop- und Entwicklertools
Behoben in
- sharp 0.35.0 oder neuer (die Herstellerwarnung nennt 0.35.3 mit libvips 8.18.3; aktuelle Version prüfen)
- Bei separat installiertem libvips: libvips 8.18.3 oder neuer
Umgehung
- Die betroffenen Decoder mit sharp.block({ operation: ["VipsForeignLoadNsgif", "VipsForeignLoadTiff", "VipsForeignLoadVips"] }) blockieren; GIF-, TIFF- und VIPS-Bilder werden danach nicht mehr verarbeitet
- Die Massnahme ist nur temporär; das Patchen ist die eigentliche Lösung
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total
- Nicht im CISA-KEV-Katalog; keine bekannte Ausnutzung in freier Wildbahn gefunden
- In den geprüften Quellen kein öffentlicher Exploit identifiziert; Berichte beschreiben Auswirkungen von Denial of Service bis zu möglicher Speicherbeschädigung
- Der Schweregrad unterscheidet sich je nach Quelle: CVSS 4.0 8.4 im CVE-Eintrag, CVSS 3.1 7.3 in der GitHub-Warnung
Unsere Empfehlung
- Alle sharp-Instanzen inventarisieren, inklusive transitiver npm-Abhängigkeiten und eingebundener Anwendungen
- Auf die aktuelle sharp-Version aktualisieren, die Release Notes auf Breaking Changes prüfen und Regressionstests durchführen
- Falls das Update warten muss, die Decoder-Sperre für öffentlich erreichbare Upload-Pfade anwenden
- Festlegen, wer Dateien an Verarbeitungsdienste senden darf, und diese auf Abstürze überwachen
- Prüfen, welche fünf libvips-CVEs abgedeckt sind, da der Titel der Herstellerwarnung nur vier nennt
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-f88m-g3jw-g9cj github.com
- VulnCheck advisory www.vulncheck.com
- OSV CVE-2026-114113 osv.dev
- VulDB 423963 vuldb.com
- CVE Reports GHSA-F88M-G3JW-G9CJ cvereports.com
- GitLab Advisory Database sharp GHSA-f88m-g3jw-g9cj advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.