sync-rpc: Fehlende Authentifizierung ermöglicht Remote Code Execution
Zusammenfassung
sync-rpc ist eine npm-Bibliothek für Node.js, die asynchrone Befehle in einem separaten Prozess synchron ausführt. In Versionen vor 1.3.7 akzeptiert der Worker-Prozess Verbindungen ohne ausreichende Authentifizierung. Kann ein Angreifer den Port erraten und ist dieser nicht durch eine Firewall blockiert, kann er beliebige, auf dem Server gespeicherte JavaScript-Dateien laden und ausführen. Der CNA bewertet die Schwachstelle mit CVSS 4.0 8.7 (High), VulDB mit 7.3.
Betroffen
- sync-rpc (npm) Versionen vor 1.3.7 (CNA-Eintrag: < 1.3.7; VulDB: bis 1.3.6)
Behoben in
- sync-rpc 1.3.7 und neuer
Umgehung
- Firewall-Regeln einsetzen, die den Zugriff auf den sync-rpc-Port blockieren und nur vertrauenswürdige Hosts zulassen (Empfehlung eines Drittanbieters; laut Sicherheitshinweis des Herstellers verhindert eine restriktive Firewall die Ausnutzung aus der Ferne)
Ausnutzung
- Keine Hinweise auf Ausnutzung in der Praxis verzeichnet.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Ein öffentlicher Proof of Concept wurde gemeldet, ist aber nicht verifiziert.
Unsere Empfehlung
- Prüfen Sie, ob sync-rpc in Ihren Node.js-Anwendungen verwendet wird, zum Beispiel mit npm ls sync-rpc.
- Aktualisieren Sie sync-rpc auf Version 1.3.7 oder neuer.
- Stellen Sie bis zur Aktualisierung sicher, dass der Port nicht aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Überwachen Sie unerwartete Verbindungen zum sync-rpc-Port.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-65843 www.cve.org
- GitHub Security Advisory GHSA-2x86-cf3f-86gw github.com
- Fix commit ffccfe5 github.com
- VulDB 435950 vuldb.com
- npm package sync-rpc www.npmjs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.