Node.js: Speicherpreisgabe zwischen Verbindungen durch TLS-Write-Re-Entrancy
Zusammenfassung
Node.js-HTTPS-Server können Speicher anderer Verbindungen preisgeben, darunter TLS-Private-Keys und Anfragen anderer Benutzer. Ein TLS-Schreibvorgang mit null Bytes, der aus JavaScript im on_body-Callback des HTTP-Parsers ausgelöst wird, führt zu einem erneuten Eintritt in den Parser, was eine Use-after-free-Schwachstelle und einen Out-of-bounds-Lesezugriff auf den Heap verursacht. Ein nicht authentifizierter Client kann dies auslösen, wenn die Anwendung res.flushHeaders() vor dem Ende des Request-Bodys aufruft und später res.end() mit einem nicht leeren Chunk; jede Route, die Request-Bodys zurückgibt oder speichert, kann die preisgegebenen Daten ausliefern. Unverschlüsseltes node:http ist nicht betroffen.
Betroffen
- Node.js 22.x vor 22.23.5
- Node.js 24.x vor 24.22.3
- Node.js 26.x vor 26.13.1
- Frühere Release-Linien sind ebenfalls im betroffenen Bereich; für End-of-Life-Linien wird kein Fix bereitgestellt.
Behoben in
- Node.js 22.23.5
- Node.js 24.22.3
- Node.js 26.13.1
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme; ein Update ist die einzige dokumentierte Abhilfe. Unverschlüsseltes node:http ist nicht betroffen.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung bekannt.
- VulDB kennzeichnet den Eintrag in seinem eigenen Statusfeld als 0-Day; dies bestätigt keine Ausnutzung.
- CVSS 8.1 (NVD-Format, CVSS 3.0-Vektor); VulDB bewertet mit 7.3.
Unsere Empfehlung
- Alle Node.js-Laufzeitumgebungen (node -v) auf Servern, in Containern, CI-Runnern und Single-Executable-Binaries erfassen.
- Auf 22.23.5, 24.22.3 oder 26.13.1 aktualisieren und Docker-Images sowie Binaries auf der korrigierten Version neu erstellen.
- Aus dem Internet erreichbare Node.js-Dienste, die HTTPS direkt bereitstellen, priorisieren und prüfen, ob sie das Muster flushHeaders und res.end verwenden und Request-Bodys zurückgeben.
- Falls TLS-Private-Keys abgeflossen sein könnten, betroffene Zertifikate neu ausstellen und rotieren.
- Die gesamte Laufzeitumgebung aktualisieren; dasselbe Release behebt weitere Schwachstellen, darunter CVE-2026-123865.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OpenJS CNA Security Advisories cna.openjsf.org
- Node.js November 2026 Security Releases nodejs.org
- Node.js 26.13.1 release notes nodejs.org
- Node.js 22.23.5 release notes github.com
- Node.js 24.22.3 release notes github.com
- VulDB entry 435936 vuldb.com
- Security Online: Node.js HTTP/2 and TLS vulnerabilities, November 2026 securityonline.info
- CVE-2026-123864 mirror record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.