Node.js: Aus der Ferne auslösbare Uncaught Exception in TLS-Servern

Zusammenfassung

Node.js-TLS-Server, die die Hooks SNICallback, OCSPRequest, newSession oder resumeSession oder server.addContext() verwenden, sind betroffen. Ein entfernter, nicht authentifizierter Angreifer kann einen speziell aufgebauten TLS-Client-Hello gefolgt von Padding und einem Socket-FIN senden, sodass der Socket zerstört wird, bevor ein verzögerter Callback ausgeführt wird. Der Node.js-Prozess stürzt daraufhin mit einer Uncaught Exception ab, was zu einer Denial-of-Service-Situation führt. Daten werden nicht offengelegt.

Betroffen

• Node.js 24.0.0 bis vor 24.22.3 (Angaben des CNA)
• Node.js 25.0.0 bis vor 26.13.1 (Angaben des CNA; die 25.x-Linie wird vom CNA aufgeführt, in den Auszügen des Advisory aber nicht genannt)
• Node.js 26.x und 24.x gemäss CVE-Beschreibung
• Node.js 22.x: unbestätigt, Herstellerhinweis prüfen
• Die Standardkonfiguration ist gemäss CNA-Eintrag nicht betroffen; der Auslöser erfordert einen der genannten Hooks

Behoben in

• Node.js 24.22.3
• Node.js 26.13.1

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden.
• Provisorische Massnahme, nicht vom Hersteller bestätigt: Einen TLS-terminierenden Reverse Proxy oder Load Balancer vor Node.js platzieren, damit rohe Client-Handshakes den TLS-Stack von Node.js nicht erreichen. Für die eigene Umgebung prüfen.
• Prüfen, ob Anwendungen SNICallback, OCSP, Session-Hooks oder server.addContext() verwenden; dies sind die Auslösebedingungen.

Ausnutzung

• Bis zum 11. November 2026 keine Ausnutzung in freier Wildbahn gemeldet.
• Nicht im Katalog CISA KEV aufgeführt.
• Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden.
• Die Beschreibung des CNA erklärt den Absturzmechanismus im Detail, was den Aufwand für einen Proof of Concept senken kann.

Unsere Empfehlung

• Alle Node.js-Laufzeitumgebungen und Versionen inventarisieren (node -v), einschliesslich Container und CI-Images.
• Aus dem Internet erreichbare Node.js-24.x-Dienste auf 24.22.3 oder neuer aktualisieren, 26.x-Dienste auf 26.13.1 oder neuer.
• 22.x-Dienste vorsorglich auf 22.23.5 oder neuer aktualisieren, da 22.x im selben Release-Paket gepatcht wurde.
• Dienste nach dem Update neu starten, da ein laufender Prozess den alten Code weiterhin geladen hat.
• Bis zur Behebung auf unerwartete Neustarts des Node.js-Prozesses und Crash-Logs achten.
• Weitere TLS-Callback-Korrekturen in Node.js erwarten und die Laufzeitumgebung in einem regelmässigen Patch-Zyklus halten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA Security Advisories cna.openjsf.org
• Node.js Security Releases, 11 November 2026 nodejs.org
• Node.js 26.13.1 release notes nodejs.org
• OffSeq Radar: CVE-2026-126051 radar.offseq.com
• Strix: CVE-2026-126051 www.strix.ai
• VulDB: CVE-2026-126051 vuldb.com
• SecurityOnline: Node.js HTTP/2 and TLS vulnerabilities, November 2026 securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:34.