iopress: Buffer Over-Read im Parser für Chunked-HTTP-Anfragen
Zusammenfassung
iopress ist eine native HTTP-Server-Bibliothek für Node.js. In Versionen vor 1.0.5 liest der Parser für Chunked-HTTP-Anfragen in @iopress/core über das Ende der empfangenen Daten hinaus, wenn eine Anfrage eine grössere Chunk-Grösse angibt als den tatsächlich gesendeten Body. Ein entfernter, nicht authentifizierter Angreifer kann dies mit einer manipulierten Anfrage auslösen, was zu einem Absturz des Prozesses (Denial of Service) führen und je nach Heap-Layout kleine Mengen benachbarten Speichers offenlegen kann. Betroffen sind nur Anwendungen, die dieses Paket einsetzen und über das Netzwerk erreichbar sind.
Betroffen
- @iopress/core-Versionen unterhalb von 1.0.5 gemäss CVE-Eintrag (CNA: GitHub).
- Eine Drittanbieter-Datenbank nennt den Bereich bis 1.0.4 und eine andere CWE. Die Daten des CNA und des Herstellers gelten als massgeblich.
Behoben in
- Auf @iopress/core 1.0.5 oder neuer aktualisieren.
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob @iopress/core verwendet wird (z. B. Suche in package-lock.json oder yarn.lock).
- Betroffene Installationen auf 1.0.5 oder neuer aktualisieren.
- Falls ein aus dem Internet erreichbarer Dienst iopress nutzt, das Update priorisieren und auf Abstürze oder ungewöhnliche Anfragen achten.
- Priorität: gering für die meisten KMU, mittel bei einem aus dem Internet erreichbaren iopress-Dienst.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-65833 www.cve.org
- GitHub Security Advisory GHSA-pvr5-58cf-rgv6 github.com
- iopress Release v1.0.5 github.com
- VulDB entry 435955 vuldb.com
- Strix CVE entry CVE-2026-65833 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.