Node.js: Remote-Denial-of-Service durch Assertion beim HTTP/2-Session-Teardown

Zusammenfassung

Eine erreichbare Assertion beim Beenden von HTTP/2-Sessions in Node.js erlaubt es jedem nicht authentifizierten Client, den Serverprozess zum Absturz zu bringen. Der Angriff funktioniert sowohl über TLS als auch unverschlüsselt und benötigt nur einen Standard-HTTP/2-Server, dessen Handler antwortet, bevor der Request-Body vollständig übertragen ist, was ein üblicher Ablauf ist. Der Angriff führt zu einem Dienstausfall, nicht zu Datendiebstahl, und ist eine Variante von CVE-2024-27983, die vom früheren Fix nicht abgedeckt wurde.

Betroffen

• Node.js 26.x ab 26.9.0 (vor 26.13.1)
• Node.js 24.x ab 24.22.0 (vor 24.22.3)
• Node.js 22.x (vor 22.23.5), gemäss Release Notes
• Der CVE-Eintrag nennt abweichende Bereiche (24.0.0 bis vor 24.22.3 und 25.0.0 bis vor 26.13.1), daher sind alle Versionen unterhalb der korrigierten Releases als potenziell betroffen zu behandeln
• Node.js 25 und 20 sind end-of-life und erhalten keinen Fix

Behoben in

• Node.js 26.13.1
• Node.js 24.22.3
• Node.js 22.23.5

Umgehung

Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround verfügbar; ein Update ist die einzige bestätigte Korrektur.

Ausnutzung

• Laut OffSeq nicht als ausgenutzt bekannt (Evidenz als gering eingestuft)
• Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden; dies ist ein Fehlen von Befunden
• Keine bestätigte Ausnutzung bekannt

Unsere Empfehlung

• Alle Node.js-Laufzeitumgebungen auf Hosts, in Containern sowie in mitgelieferten Appliances oder Build-Images erfassen
• Auf 26.13.1, 24.22.3 oder 22.23.5 aktualisieren und die Dienste neu starten
• Aus dem Internet erreichbare Node.js-Dienste mit aktiviertem HTTP/2 priorisieren
• Die anderen HTTP/2-Korrekturen im selben Release (CVE-2026-123865, CVE-2026-123874) zusammen mit diesem Update einspielen
• Auf unerwartete Prozessneustarts achten und die CISA KEV in den kommenden Tagen erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA security advisories cna.openjsf.org
• Node.js security releases, 11 November 2026 nodejs.org
• CVE record CVE-2026-123863 www.cve.org
• Node.js v26.13.1 release nodejs.org
• Node.js v22.23.5 release on GitHub github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:27.