Node.js: Umgehung der Zertifikatsprüfung in https.Agent durch TLS-Session-Wiederverwendung

Zusammenfassung

Der https.Agent von Node.js kann eine zwischengespeicherte TLS-Session über Anfragen mit unterschiedlichen CA-Richtlinien hinweg wiederverwenden, weil eine Anfrage ohne ca und eine Anfrage mit ca: [] denselben Session-Cache-Schlüssel erhalten. Eine unter dem Standard-Trust-Store authentifizierte TLS-Session kann dadurch für eine spätere Anfrage mit der strengeren Richtlinie ca: [] wiederverwendet werden, und diese Anfrage meldet authorized === true. Ein Angreifer, der solche ausgehenden Anfragen beeinflussen oder mitlesen kann, könnte vertrauliche Daten von einem Server erhalten, den die strengere Richtlinie abgelehnt hätte. Betroffen sind nur Node.js-Anwendungen, die ausgehende HTTPS-Verbindungen mit unterschiedlichen ca-Einstellungen über einen gemeinsam genutzten Agent aufbauen.

Betroffen

• Node.js 22.x vor 22.23.5
• Node.js 24.x vor 24.22.3
• Node.js 26.x vor 26.13.1
• Node.js 23.x und 25.x (nicht mehr unterstützt): Die Bereichsangaben zu CVE deuten darauf hin, dass diese betroffen sein könnten; dies ist vom Hersteller noch nicht bestätigt

Behoben in

• Node.js 22.23.5
• Node.js 24.22.3
• Node.js 26.13.1 (in den Release Notes als "https: isolate Agent TLS policy keys" bestätigt)
• Hinweis: Die Korrekturen für 22.23.5 und 24.22.3 sind bisher nur durch Drittquellen bestätigt

Umgehung

Unbekannt.

• Vom Hersteller dokumentierte Workaround wurde nicht gefunden.
• Provisorische Massnahme, nicht verifiziert: Code prüfen, der eine eigene ca-Option auf einem gemeinsam genutzten Agent setzt, und vermeiden, einen Agent über unterschiedliche CA-Richtlinien hinweg zu verwenden.

Ausnutzung

• Nicht als ausgenutzt bekannt.
• Bisher wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Node.js-Laufzeitumgebungen und Anwendungen inventarisieren, einschliesslich jener von Drittherstellern, und Versionen 22.x, 24.x und 26.x identifizieren.
• So rasch wie möglich auf 22.23.5, 24.22.3 oder 26.13.1 (oder neuer) aktualisieren.
• CVE-2026-123867 (im selben Release) zusammen mit dieser Lücke patchen.
• Code prüfen, der eigene ca-Einstellungen mit gemeinsam genutzten https-Agents verwendet, und das Mischen von CA-Richtlinien auf einem Agent vermeiden.
• Das Node.js-Advisory auf Bestätigung der betroffenen Bereiche und eines allfälligen Workarounds überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA security advisories cna.openjsf.org
• Node.js November 2026 security releases nodejs.org
• Node.js 26.13.1 release notes nodejs.org
• VulDB CVE-2026-123877 vuldb.com
• OffSeq threat radar CVE-2026-123877 radar.offseq.com
• ThreatInt CVE-2026-123877 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:41.