Node.js: Umgehung der Client-Zertifikat-Authentifizierung über TLS-1.2-Renegotiation

Zusammenfassung

Ein Fehler im TLS-Modul von Node.js erlaubt es einem Client, während einer TLS-1.2-Renegotiation den Servernamen zu ändern und so Hosts zu erreichen, für die er nicht berechtigt ist. Betroffen sind Server, die je Hostname unterschiedliche Client-Zertifikat-Richtlinien anwenden, etwa ein Admin-Host mit strengeren Vorgaben und ein normaler Host auf demselben Node.js-Server. Ein Angreifer, der bereits ein Client-Zertifikat besitzt, das ein erlaubter Host akzeptiert, kann diese Authentifizierung auf den geschützten Host übertragen und die strengere Richtlinie umgehen; dort entstehen Auswirkungen auf Vertraulichkeit und Integrität. Der CVSS-Wert beträgt 8.1 (hoch).

Betroffen

• Node.js 22.x vor 22.23.5
• Node.js 24.x vor 24.22.3
• Node.js 26.x vor 26.13.1
• Die früheste betroffene Version jeder Linie ist unbekannt. Der CNA-Eintrag nennt zusätzlich Bereiche für 23.x und 25.x, die keine Herstellerlinien sind; bitte gegen die Herstellerankündigung prüfen.

Behoben in

• Node.js 22.23.5
• Node.js 24.22.3
• Node.js 26.13.1

Umgehung

• Vom Hersteller ist keine Workaround veröffentlicht. Das Einspielen des Patches ist die Behebung.
• Interim-Empfehlung (nicht vom Hersteller): Node.js-TLS-Server prüfen, die je Hostname unterschiedliche Client-Zertifikat-Regeln anwenden, und die strengere Prüfung für Admin-Routen in der Anwendung erzwingen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• Nicht direkt gegen den CISA-KEV-Katalog geprüft.
• Der Fix wurde vorab angekündigt; öffentliche Diffs können Reverse Engineering ermöglichen.

Unsere Empfehlung

• Node.js-Hosts mit 22.x, 24.x oder 26.x auf die oben genannten Fixversionen aktualisieren.
• Container-Images und Single-Executable-Anwendungen neu erstellen, nicht nur die Host-Installation.
• End-of-Life-Linien von Node.js ausser Betrieb nehmen, da dafür keine Fixes mehr erscheinen.
• Client-Zertifikat-Konfiguration auf Node.js-TLS-Servern prüfen, die mehrere Hostnamen mit unterschiedlichen Richtlinien bedienen.
• Bei vorhandener solcher Konfiguration priorisieren; andernfalls im regulären Patch-Zyklus einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA Security Advisories cna.openjsf.org
• Node.js Security Releases, 11 November 2026 nodejs.org
• Node.js v24.22.3 release nodejs.org
• Node.js v26.13.1 release nodejs.org
• CVE-2026-123872 record mirror cve.threatint.com
• OffSeq threat radar entry for CVE-2026-123872 radar.offseq.com
• SecurityOnline: Node.js HTTP/2 and TLS vulnerabilities, November 2026 securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:27.