Node.js: Use-after-free in HTTP/2 bei respondWithFile() und respondWithFD()

Zusammenfassung

Das integrierte HTTP/2-Modul von Node.js enthält eine Use-after-free-Schwachstelle, die den Speicher des Servers beschädigen kann. Ein nicht authentifizierter Client aus dem Netzwerk kann sie über TLS und unverschlüsselt auslösen, wenn die Anwendung Dateien mit stream.respondWithFile() oder stream.respondWithFD() ausliefert; sonst gelten Standardeinstellungen. Die CNA bewertet die Schwachstelle mit 7.5 (CVSS 3.0) mit einer reinen Verfügbarkeitsauswirkung, daher ist ein Absturz oder eine Denial-of-Service-Situation das Hauptrisiko, wobei auch eine Beschädigung des Speichers beschrieben wird.

Betroffen

• Node.js 24.x ab 24.22.0 (Beschreibung der CNA; der betroffene Bereich der CNA beginnt bei 24.0.0)
• Node.js 26.x ab 26.9.0
• Node.js 22.x: unklar; die Versionshinweise zu 22.23.5 führen die CVE auf, das Sicherheitsadvisory des Herstellers konnte jedoch nicht verifiziert werden
• Node.js 25.x: End of Life, kein Fix

Behoben in

• Node.js 24.22.3
• Node.js 26.13.1
• Node.js 22.23.5 (in den Versionshinweisen aufgeführt, nicht gegen das Sicherheitsadvisory des Herstellers verifiziert)
• Node.js 20.x und 25.x: kein Fix, End of Life

Umgehung

Keine vom Hersteller dokumentierte Umgehungsmassnahme. Die Aktualisierung von Node.js ist die Abhilfe.

Ausnutzung

Zum Zeitpunkt der Recherche wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Es wurde kein öffentlicher Proof of Concept gefunden. Nicht in CISA KEV aufgeführt.

Unsere Empfehlung

• Alle Node.js-Systeme inventarisieren, einschliesslich 22.x-, 24.x-, 26.x- und End-of-Life-Versionen.
• Auf 24.22.3, 26.13.1 oder 22.23.5 aktualisieren, je nach Release-Linie, zusammen mit den übrigen Node.js-Sicherheitsfixes vom November 2026.
• Systeme priorisieren, die Dateien über HTTP/2 mit respondWithFile() oder respondWithFD() ausliefern.
• Prüfen, ob aus dem Internet erreichbare Dienste den HTTP/2-Server von Node.js direkt oder nur über einen Reverse Proxy ansprechen.
• Den Sicherheitskanal von Node.js und CISA KEV überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA security advisories cna.openjsf.org
• Node.js security releases, 11 November 2026 nodejs.org
• Node.js 24.22.3 release nodejs.org
• Node.js 26.13.1 release nodejs.org
• Node.js 22.23.5 release nodejs.org
• VulDB entry for CVE-2026-123874 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:35.