Node.js: NULL-Pointer-Dereferenzierung beim Abbrechen von HTTP/2-Dateidownloads
Zusammenfassung
Node.js-HTTP/2-Server, die Dateien mit stream.respondWithFile() oder stream.respondWithFD() ausliefern, können abstürzen, wenn ein Client den Download abbricht. Die Ursache ist eine NULL-Pointer-Dereferenzierung, die durch die Reihenfolge entsteht, in der ein StreamPipe abgebaut wird, und sie betrifft sowohl TLS- als auch unverschlüsselte Verbindungen. Ein nicht authentifizierter Angreifer benötigt nur wenige abgebrochene Anfragen an einen Standard-Handler für Dateien, um den Prozess zu beenden, was bis zu dessen Neustart zu einem Denial of Service führt.
Betroffen
- Node.js 22.x vor 22.23.5
- Node.js 24.x vor 24.22.3
- Node.js 26.x vor 26.13.1
- Node.js 25.x (End of Life, kein Fix; auf nodejs.org prüfen)
Behoben in
- Node.js 22.23.5
- Node.js 24.22.3
- Node.js 26.13.1 oder neuer
Umgehung
Unbekannt. Das Advisory des Herstellers nennt keinen Workaround. Nicht verifizierte Übergangsmassnahmen:
- Prüfen, ob die Anwendung respondWithFile() oder respondWithFD() aufruft.
- Statische Dateien über einen Reverse Proxy vor Node.js ausliefern.
- Den Prozess mit einem Supervisor betreiben, der ihn nach einem Absturz neu startet.
Ausnutzung
Nicht bekannt, dass die Lücke aktiv ausgenutzt wird. VulDB meldet, dass technische Details bekannt sind, aber kein Exploit verfügbar ist.
Unsere Empfehlung
- Alle Node.js-Versionen auf Servern, in Containern und Build-Images inventarisieren.
- Öffentlich erreichbare HTTP/2-Dienste, die Dateien ausliefern, priorisieren.
- Auf Node.js 22.23.5, 24.22.3, 26.13.1 oder neuer aktualisieren, nach Prüfung des Advisories auf nodejs.org.
- Bis zum Update die oben genannten Übergangsmassnahmen anwenden und auf wiederholte Prozessabstürze überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OpenJS CNA Security Advisories cna.openjsf.org
- Node.js Security Releases, 11 November 2026 nodejs.org
- VulDB CVE-2026-123875 vuldb.com
- Strix CVE-2026-123875 www.strix.ai
- OffSeq Radar CVE-2026-123875 radar.offseq.com
- ThreatInt CVE-2026-123875 cve.threatint.com
- SecurityOnline Node.js HTTP/2 and TLS vulnerabilities, November 2026 securityonline.info
- Node.js pull request 67252 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.