Node.js: HTTP/2-Speicherausschöpfung durch nicht erfasste DATA-Frames

Zusammenfassung

Node.js-HTTP/2-Server behalten eingehende DATA-Frames, die in nicht geleerten Streams warten, ohne sie dem Speicherbudget der Session zuzurechnen. Ein nicht authentifizierter Client aus dem Netz kann viele DATA-Frames mit je einem Byte auf einem einzigen Stream senden und so bewirken, dass der Server hunderte Megabyte Speicher belegt, was zu einem Denial of Service führen kann. Das Limit maxSessionMemory begrenzt dieses Wachstum nicht und blockiert auch keine neuen Streams, daher ist jeder erreichbare HTTP/2-Listener betroffen.

Betroffen

• Node.js 24.x ab 24.0.0 vor 24.22.3
• Node.js 25.x und 26.x vor 26.13.1 (25.x ist End of Life)
• Node.js 22.x vor 22.23.5: Die Behebung ist in den Release Notes aufgeführt, aber nicht im CVE-Eintrag; bis zur Bestätigung durch den Hersteller als betroffen behandeln

Behoben in

• Node.js 26.x: 26.13.1
• Node.js 24.x: 24.22.3
• Node.js 22.x: 22.23.5
• Node.js 25.x und ältere End-of-Life-Linien: keine Behebung, auf eine unterstützte Release-Linie migrieren

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden, und die Anpassung von maxSessionMemory ist keine Massnahme. Übergangsmassnahme (nicht aus einer Quelle): einen Reverse Proxy, der HTTP/2 terminiert, vor Node.js schalten oder den HTTP/2-Listener auf vertrauenswürdige Netze beschränken, und prüfen, ob dies dieses Verhalten tatsächlich begrenzt.

Ausnutzung

• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept und kein Exploit gefunden.
• Nicht als aktiv ausgenutzt gelistet (OffSeq) und nicht im CISA KEV (Strix).
• CVSS 5.9 (MEDIUM), Vektor AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H.

Unsere Empfehlung

• Alle Node.js-Laufzeitumgebungen und Container-Images inventarisieren und HTTP/2-Listener identifizieren.
• Auf 26.13.1, 24.22.3 oder 22.23.5 für die passende Release-Linie aktualisieren und die Dienste neu starten.
• Systeme mit 25.x oder anderen End-of-Life-Linien auf eine unterstützte Version migrieren.
• Falls das Patchen verzögert ist, die Exponierung der HTTP/2-Listener wie unter Workaround beschrieben einschränken.
• Den Herstellerhinweis und NVD erneut prüfen, sobald die Analyse veröffentlicht ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-123868 www.cve.org
• OpenJS CNA Security Advisories cna.openjsf.org
• Node.js security releases, 11 November 2026 nodejs.org
• Node.js 26.13.1 release nodejs.org
• Node.js 22.23.5 release notes github.com
• OffSeq threat radar entry radar.offseq.com
• Strix CVE entry CVE-2026-123868 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:43.