Node.js: Heap-Pufferüberlauf in HTTP/2 session.altsvc() über langen Origin

Zusammenfassung

Ein Heap-Pufferüberlauf um ein Byte in der HTTP/2-Alt-Svc-Verarbeitung von Node.js erlaubt einem entfernten, nicht authentifizierten Angreifer, den Speicher des Prozesses zu beschädigen. Die Schwachstelle betrifft nur Anwendungen, die vom Angreifer kontrollierte Eingaben, etwa den :authority-Header einer Anfrage, an Http2Session.altsvc() übergeben. Eine einzelne Anfrage mit einem langen, aber syntaktisch gültigen :authority kann den Prozess zum Absturz bringen und dient als Primitive für die Beschädigung des Heap-Speichers aus der Ferne. Gemäss CVSS-Vektor hat die Schwachstelle keine Auswirkung auf die Vertraulichkeit.

Betroffen

• Node.js 24.0.0 bis vor 24.22.3
• Node.js 25.0.0 bis vor 26.13.1 (Linie ohne Support)
• Node.js 26.x vor 26.13.1
• Node.js 22.x: Unbekannt.

Behoben in

• Node.js 26.13.1
• Node.js 24.22.3 (erste nicht betroffene Version gemäss CNA-Eintrag)

Umgehung

• Unbekannt. Im CVE-Eintrag ist kein Workaround aufgeführt.
• Bis zum Patch Anwendungen prüfen, die Request-Header wie :authority an altsvc() übergeben, und dieses Muster entfernen oder validieren.

Ausnutzung

• Stand 11. Nov. 2026 keine bekannte Ausnutzung.
• Stand 11. Nov. 2026 kein öffentlicher Exploit oder Proof of Concept gefunden.
• Nicht in der CISA-KEV-Liste aufgeführt.
• VulDB stuft den Status als 0-Day ohne verfügbaren Exploit ein.

Unsere Empfehlung

• Alle Node.js-Laufzeitumgebungen inventarisieren, auch jene in Containern, Appliances und Produkten von Herstellern.
• Auf Node.js 26.13.1 oder 24.22.3 aktualisieren und Versionen ohne Support ersetzen.
• Prüfen, ob Anwendungen Request-Header an altsvc() übergeben, und diese Anwendungen priorisieren.
• Die gesamte Node.js-Laufzeitumgebung patchen, da dieses Release auch mehrere weitere als hoch eingestufte HTTP/2- und TLS-Schwachstellen behebt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA security advisories cna.openjsf.org
• Node.js November 2026 security releases nodejs.org
• CVE Record CVE-2026-123828 www.cve.org
• Node.js 26.13.1 release nodejs.org
• VulDB CVE-2026-123828 vuldb.com
• OffSeq threat entry CVE-2026-123828 radar.offseq.com
• Strix CVE-2026-123828 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:44.