Node.js: Speicher- und Dateideskriptor-Leck bei HTTP/2 durch Protokollfehler während Shutdown
Zusammenfassung
Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Speicher und Dateideskriptoren eines Node.js-Servers mit aktiviertem HTTP/2 erschöpfen. Der Angreifer löst einen Protokollfehler aus, während die HTTP/2-Session bereits heruntergefahren wird, zum Beispiel nach dem Senden von GOAWAY(NO_ERROR). Node.js bemerkt den internen Abbau der Session nicht, daher bleibt der Socket im Zustand CLOSE_WAIT und der Session-Zustand bleibt im Speicher, bis der Prozess neu gestartet wird. Es handelt sich um eine unvollständige Behebung von CVE-2026-48937.
Betroffen
- Node.js 22.x vor 22.23.5
- Node.js 24.x vor 24.22.3
- Node.js 26.x vor 26.13.1
- End-of-Life-Versionen von Node.js sind ebenfalls betroffen (CNA-Eintrag: 0.0.0 bis < 22.23.5, 23.0.0 bis < 24.22.3, 25.0.0 bis < 26.13.1)
Behoben in
- Node.js 22.23.5
- Node.js 24.22.3
- Node.js 26.13.1
- Backports auf andere Release-Linien: Unbekannt.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Ein Reverse Proxy, der HTTP/2 vor Node.js terminiert, ist eine mögliche Massnahme, wurde aber nicht gegen die Herstellerinformation verifiziert.
Ausnutzung
- Keine bestätigte Ausnutzung bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Der Angreifer kann den Shutdown remote durch das Senden von GOAWAY(NO_ERROR) auslösen, daher ist der Angriff bei Standard-HTTP/2-Servern zuverlässig.
Unsere Empfehlung
- Node.js auf die korrigierten Releases 22.23.5, 24.22.3 oder 26.13.1 aktualisieren und die Dienste neu starten.
- End-of-Life-Installationen von Node.js auf eine unterstützte Version migrieren, da dafür kein Fix bereitgestellt wird.
- Aus ddem Internet erreichbare Node.js-Dienste mit aktiviertem HTTP/2 priorisieren.
- Überwachen, ob die Anzahl der Sockets im Zustand CLOSE_WAIT wächst und ob Speicher- sowie Dateideskriptor-Nutzung steigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OpenJS CNA Security Advisories cna.openjsf.org
- Node.js Security Releases, 11 November 2026 nodejs.org
- CVE-2026-123865 (threatint) cve.threatint.com
- CVE-2026-123865 (VulDB) vuldb.com
- CVE-2026-123865 (OffSeq Radar) radar.offseq.com
- Node.js HTTP/2 and TLS vulnerabilities, November 2026 (SecurityOnline) securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.