Node.js HTTP/2: Use-after-free beim Stream-Abbau legt Antwortspeicher offen
Zusammenfassung
Ein Use-after-free beim Abbau von HTTP/2-Streams in Node.js kann Antwortspeicher an einen entfernten Peer leaken, einschliesslich Daten anderer Verbindungen. Das geschieht, wenn ein Stream zerstört wird, während ein Schreibvorgang noch durch Backpressure blockiert ist, zum Beispiel durch ein RST_STREAM des Peers oder einen Timeout pro Stream. Dadurch wird freigegebener oder fremder Heap-Speicher anstelle der beabsichtigten Antwort gesendet. Auf Node.js 24.x und 26.x kann ein entfernter Peer die Schwachstelle allein auslösen, und auf allen unterstützten Linien erreicht ein anwendungsseitig ausgelöster Abbau, etwa ein Idle-Timeout pro Stream, denselben Fehler.
Betroffen
- Node.js 22.x vor 22.23.5
- Node.js 24.x vor 24.22.3
- Node.js 26.x vor 26.13.1
Behoben in
- Node.js 22.23.5
- Node.js 24.22.3
- Node.js 26.13.1
Behoben im Node.js-Sicherheitsrelease vom 11. November 2026.
Umgehung
Unbekannt. In den Quellen ist keine Workaround-Massnahme dokumentiert.
- Bis zur Aktualisierung die direkte Erreichbarkeit der HTTP/2-Listener von Node.js aus dem Internet einschränken, zum Beispiel mit einem Reverse Proxy, der HTTP/2 terminiert. Dies reduziert die Exposition, ist aber keine verifizierte Behebung.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird.
- Kein öffentlicher Exploit bekannt.
- Das Node.js-Team meldet bisher keine Angriffe.
Unsere Empfehlung
- Auf Node.js 22.23.5, 24.22.3 oder 26.13.1 (oder die neueste Version dieser Linien) aktualisieren und die Dienste neu starten.
- Server, Container und Build-Images mit Node.js identifizieren und prüfen, welche HTTP/2-Listener aus dem Internet erreichbar sind.
- Auf ungewöhnliche Speichernutzung und auffällige Stream-Resets überwachen.
- Nicht mehr unterstützte Node.js-Linien ersetzen, da sie keine Behebung erhalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OpenJS CNA Security Advisories cna.openjsf.org
- Node.js Security Releases, 11 November 2026 nodejs.org
- Strix: CVE-2026-123866 www.strix.ai
- OffSeq Radar: CVE-2026-123866 radar.offseq.com
- SecurityOnline: Node.js HTTP/2 and TLS vulnerabilities, November 2026 securityonline.info
- ThreatInt: CVE-2026-123866 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.