Node.js Seite 2

Die Node.js-Kompressionsbibliothek Compressing stellt in Version 2.0.0 sowie 1.10.3 und früher beim Entpacken von TAR-Archiven symbolische Links wieder her, ohne deren Ziele zu validieren. Dies ermöglicht Path-Traversal-Angriffe. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der TLS-Fehlerbehandlung von Node.js können laut NVD unbehandelte Exceptions in pskCallback oder ALPNCallback die regulären Fehlerpfade (tlsClientError, error) umgehen. Dies führt entweder zum sofortigen Absturz des Prozesses oder zu einem stillen Leck von Datei-Deskriptoren, was letztlich zu einem Denial of Service führt. Da diese Callbacks während des TLS-Handshakes angreifergesteuerte Eingaben verarbeiten, kann ein entfernter Client die Schwachstelle wiederholt auslösen. Betroffen sind TLS-Server, die PSK- oder ALPN-Callbacks nutzen, sofern diese nicht sicher gegen Exceptions abgesichert sind. CVSS-Basiswert: 7.5 (Hoch).

Bei der Umwandlung von X.509-Zertifikatsfeldern nach UTF-8 gibt die OpenSSL-Integration von Node.js den zugewiesenen Puffer nicht frei. Ruft eine Anwendung socket.getPeerCertificate(true) auf, entsteht bei jedem Zertifikatsfeld ein Speicherleck, sodass entfernte Clients durch wiederholte TLS-Verbindungen ein stetiges Speicherwachstum auslösen können. Dies kann langfristig zu Ressourcenerschöpfung und Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

In Node.js werden „Maximum call stack size exceeded“-Fehler nicht mehr abfangbar, wenn async_hooks.createHook() aktiviert ist. Statt an process.on('uncaughtException') weitergereicht zu werden, beendet sich der Prozess, wodurch der Absturz nicht mehr behandelt werden kann. Anwendungen, die AsyncLocalStorage (v22, v20) oder async_hooks.createHook() (v24, v22, v20) nutzen, sind dadurch anfällig für Denial-of-Service-Abstürze durch tiefe Rekursion unter bestimmten Bedingungen. CVSS-Basiswert: 7.5 (Hoch).

In haxcms-nodejs bis Version 11.0.13 und haxcms-php bis Version 11.0.8 führen API-Endpunkte beim Zugriff auf Ressourcen keine Autorisierungsprüfungen durch. Beide Varianten prüfen zwar, ob ein Benutzer authentifiziert ist, aber nicht, ob er zu einer Operation berechtigt ist. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf haxcms-nodejs 11.0.14 bzw. haxcms-php 11.0.9.

HAX CMS PHP bereinigt vor Version 11.0.0 Benutzereingaben unzureichend und erlaubt so die Ausführung beliebigen JavaScript-Codes. Die Endpunkte saveNode und saveManifest übernehmen Benutzereingaben und speichern sie im JSON-Schema der Website, das anschliessend in der generierten HAX-Site gerendert wird; obwohl ein script-Tag nicht zulässig ist, lassen sich andere HTML-Tags zur Codeausführung nutzen. Version 11.0.0 behebt das Problem. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: auf HAX CMS 11.0.0 oder neuer aktualisieren.

HAX CMS PHP erlaubt Nutzern die Verwaltung ihres Microsite-Universums über ein PHP-Backend. Vor Version 11.0.3 bezieht die Funktion gitImportSite eine URL-Zeichenkette aus einem POST-Request und validiert die Nutzereingabe unzureichend. Die Funktion set_remote übergibt diese Eingabe anschliessend an proc_open, wodurch eine OS-Command-Injection entsteht. Ein authentifizierter Angreifer kann eine URL-Zeichenkette erstellen, welche die Validierungsprüfungen von filter_var und strpos umgeht, um beliebige Betriebssystembefehle auf dem Backend-Server auszuführen; die Befehlsausgabe kann per HTTP-Request exfiltriert werden. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Update auf Version 11.0.3 einspielen.

Node.js verwendet mehrere eingebaute Hilfsfunktionen zur Pfadnormalisierung, die durch benutzerdefinierte Implementierungen überschrieben werden können. Dadurch lässt sich das Berechtigungsmodell über einen Path-Traversal-Angriff umgehen. Betroffen sind Nutzer des experimentellen Berechtigungsmodells in Node.js 20 und 21. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Node.js ignoriert unter Linux laut NVD bestimmte Umgebungsvariablen, die von einem unprivilegierten Nutzer gesetzt worden sein könnten, während der Prozess mit erhöhten Rechten läuft – mit Ausnahme von CAP_NET_BIND_SERVICE. Ein Implementierungsfehler bei dieser Ausnahme führt jedoch dazu, dass Node.js sie fälschlicherweise auch anwendet, wenn zusätzlich weitere Capabilities gesetzt wurden. Dadurch können unprivilegierte Nutzer Code einschleusen, der die erhöhten Rechte des Prozesses erbt. CVSS-Basiswert: 7.8 (Hoch).

Beim Reparaturvorgang des Node.js-.msi-Installers unter Windows liest der mit NT AUTHORITY\SYSTEM-Rechten laufende Prozess msiexec.exe die Umgebungsvariable %USERPROFILE% aus der Registry des aktuellen Benutzers. Existiert der referenzierte Pfad nicht, erstellt msiexec.exe ihn auf unsichere Weise, wodurch beliebige Ordner an beliebigen Orten entstehen können. Da die Registry-Variable %USERPROFILE% von Standardnutzern verändert werden kann, können unprivilegierte Angreifer den privilegierten msiexec.exe-Prozess so zur Ordnererstellung an unbeabsichtigten Orten verleiten. Betroffen sind ausschliesslich Windows-Nutzer, die Node.js über den .msi-Installer installieren. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Die von crypto.createDiffieHellman() zurückgegebene Funktion generateKeys() erzeugt in Node.js nur fehlende bzw. veraltete Schlüssel: Ein privater Schlüssel wird nur erzeugt, wenn noch keiner gesetzt ist, der zugehörige öffentliche Schlüssel muss nach setPrivateKey() jedoch weiterhin separat berechnet werden. Die Dokumentation beschreibt hingegen, der Aufruf generiere sowohl private als auch öffentliche Diffie-Hellman-Schlüsselwerte. Diese Abweichung zwischen dokumentiertem und tatsächlichem Verhalten kann bei Anwendungen, die diese API als Basis für Sicherheitsfunktionen nutzen, zu Sicherheitsproblemen führen. CVSS-Basiswert: 7.5 (Hoch).

In Node.js kann über process.mainModule.__proto__.require() unter Ausnutzung von __proto__ der experimentelle Policy-Mechanismus umgangen werden, sodass Module ausserhalb der in policy.json definierten Vorgaben geladen werden können. Betroffen sind alle Nutzer des experimentellen Policy-Mechanismus in den aktiven Release-Linien v16, v18 und v20. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Eine zuvor gemeldete Schwachstelle (CVE-2023-30584) wurde im Commit 205f1e6 laut NVD nur unzureichend behoben. Die neue Path-Traversal-Schwachstelle entsteht dadurch, dass sich die Implementierung nicht dagegen schützt, dass eine Anwendung eingebaute Utility-Funktionen durch nutzerdefinierte Implementierungen überschreibt. Das betroffene Permission-Modell war zum Zeitpunkt der Veröffentlichung ein experimentelles Feature von Node.js. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Wenn die Policy-Funktion von Node.js die Integrität einer Ressource gegen ein vertrauenswürdiges Manifest prüft, kann eine Anwendung laut Quelle diesen Vorgang abfangen und eine gefälschte Prüfsumme zurückgeben, wodurch die Integritätsprüfung des Policy-Mechanismus faktisch deaktiviert wird. Betroffen sind laut Quelle alle Nutzer des experimentellen Policy-Mechanismus in den aktiven Release-Linien 18.x und 20.x. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet und nicht Teil bekannter Ransomware-Kampagnen.

Die Verwendung der veralteten API process.binding() kann laut Quellbeschreibung das Permission-Modell von Node.js über Path Traversal umgehen. Betroffen sind alle Nutzer des experimentellen Permission-Modells in Node.js 20.x; zum Zeitpunkt der Veröffentlichung dieser CVE war das Permission-Modell noch ein experimentelles Feature von Node.js. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In den aktiven Node.js-Release-Linien 16.x, 18.x und 20.x besteht eine Schwachstelle zur Rechteausweitung im experimentellen Policy-Mechanismus. Über die veraltete API process.binding() lässt sich der Mechanismus umgehen, indem interne Module angefordert werden; darüber kann letztlich process.binding('spawn_sync') genutzt werden, um beliebigen Code ausserhalb der in policy.json definierten Grenzen auszuführen. Zum Zeitpunkt der Veröffentlichung dieser CVE war der Policy-Mechanismus ein experimentelles Feature von Node.js. CVSS-Basiswert: 7.5 (Hoch).

Das Jenkins NodeJS Plugin maskiert in Version 1.6.0 und früher laut NVD in der Npm-Konfigurationsdatei angegebene Zugangsdaten in Pipeline-Build-Logs nicht korrekt, also nicht durch Sternchen ersetzt. CVSS-Basiswert: 7.5 (Hoch).

In Node.js Version 20 besteht innerhalb des experimentellen Berechtigungsmodells eine Schwachstelle bei der Handhabung von Buffers in den Dateisystem-APIs. Dadurch lässt sich beim Prüfen von Dateiberechtigungen ein Path-Traversal umgehen. Betroffen sind alle Nutzer des experimentellen Berechtigungsmodells in Node.js 20. CVSS-Basiswert: 8.8 (Hoch).

In Node.js kann über module.constructor.createRequire() der Policy-Mechanismus umgangen und Module ausserhalb der in der policy.json definierten Vorgaben geladen werden. Betroffen sind alle Nutzer des experimentellen Policy-Mechanismus in den aktiven Release-Linien 16.x, 18.x und 20.x; die Policy war zum Zeitpunkt der Veröffentlichung ein experimentelles Feature. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine korrigierte Node.js-Version aktualisieren.

Node.js vor 4.8.5, 6.x vor 6.11.5 und 8.x vor 8.8.0 erlaubt entfernten Angreifern, einen Denial of Service (nicht abgefangene Ausnahme und Absturz) auszulösen, indem sie eine Änderung im zlib-Modul 1.2.9 ausnutzen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf eine korrigierte Node.js-Version (4.8.5, 6.11.5 bzw. 8.8.0 oder neuer) aktualisieren.

zlib ist eine weit verbreitete Kompressionsbibliothek. In Version 1.2.8 kann die Datei inftrees.c kontextabhängigen Angreifern durch fehlerhafte (unzulässige) Zeigerarithmetik nicht näher spezifizierte Auswirkungen ermöglichen. Da zlib in zahlreiche Betriebssysteme und Anwendungen eingebettet ist, geben entsprechend viele Distributionen und Hersteller eigene Sicherheitshinweise heraus. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Empfohlene Massnahme: Aktualisierungen der jeweiligen Distribution bzw. des Herstellers einspielen.

Die Funktion inflateMark in inflate.c der Kompressionsbibliothek zlib 1.2.8 kann von kontextabhängigen Angreifern über Vektoren ausgenutzt werden, die Linksverschiebungen negativer Ganzzahlen beinhalten, und dabei nicht näher spezifizierte Auswirkungen haben. Da zlib in viele Betriebssysteme und Anwendungen eingebettet ist, sind zahlreiche Hersteller betroffen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von den jeweiligen Herstellern bereitgestellten Aktualisierungen für die betroffenen Produkte einspielen.

Eine weitere OpenSSL-Schwachstelle (Synology-SA-22:21) betrifft laut Quellenlage Produkte von Asustor, Synology, AMD, SolarWinds, Axis, Matrix42 AG, OpenVPN Inc., CommScope, OpenSSL, Fedora und Node.js. Ausnutzungswahrscheinlichkeit (EPSS): 92.5 %.

Eine OpenSSL-Schwachstelle (Synology-SA-22:21) betrifft laut Quellenlage Produkte von Asustor, Synology, AMD, SolarWinds, Axis, Matrix42, OpenVPN und CommScope. Ausnutzungswahrscheinlichkeit (EPSS): 90.8 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2016-2107) gemeldet; Synology weist in einem Hinweis auf die betroffenen OpenSSL-Schwachstellen (CVE-2016-2107 und CVE-2016-2108) hin, zahlreiche weitere Hersteller führen eigene Advisories. Ausnutzungswahrscheinlichkeit (EPSS): 89.1 %.

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Eine OpenSSL-Schwachstelle (CVE-2022-0778) betrifft laut SICK PSIRT mehrere SICK-SIM-Produkte; zahlreiche weitere Hersteller führen ebenfalls Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 73.2 %. 10 Produkt(e) betroffen, 3 mit Fix.

Für Synology-Produkte wurde eine Sicherheitslücke in OpenSSL gemeldet (CVE-2016-6304). Ausnutzungswahrscheinlichkeit (EPSS): 63.0 %.

Für Axis-Produkte wurde eine Sicherheitslücke behoben, die auf einer Schwachstelle in OpenSSL beruht; betroffen ist eine grosse Zahl weiterer Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 62.9 %.

Für nginx und Synology-Produkte wurde eine Sicherheitslücke im Zusammenhang mit HTTP/2 DoS-Angriffen gemeldet (Synology-SA-19:33 HTTP/2 DoS Attacks). Ausnutzungswahrscheinlichkeit (EPSS): 59.5 %.

Im Rahmen der Synology-SA-19:33 wurden HTTP/2 Denial-of-Service-Angriffe in nginx und Synology-Produkten gemeldet. CVE-2019-9516 betrifft einen Angriff über 0-Length-Headers im HTTP/2-Protokoll. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2021-23840) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 50.7 %.

Für Securepoint UTM wurde eine Sicherheitslücke (CVE-2016-2105) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 39.6 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2016-7052) gemeldet; Synology und weitere überwachte Produkte führen entsprechende Advisories. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 30.2 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2019-9517) gemeldet. Betroffen ist eine Reihe weiterer Hersteller und Distributionen, darunter Ubuntu, Debian, Synology, Fedora, SUSE/openSUSE, Red Hat, NetApp, Node.js und Oracle. Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-3450) gemeldet, die die OpenSSL-Bibliothek betrifft und per Advisory adressiert wurde; mehrere Hersteller sind betroffen. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Ein Fehler in der TLS-Hostname-Verarbeitung von Node.js führt dazu, dass Unicode-Punkt-Trennzeichen unterschiedlich normalisiert werden. Durch die Abweichung zwischen Resolver und Verifier bei der Hostname-Normalisierung kann eine Authentifizierungsumgehung bei Wildcard-Zertifikaten entstehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 3.2 %.

LightLLM in Version 1.1.0 und älter enthält eine nicht authentifizierte Remote-Codeausführung im PD-Modus (Prefill-Decode-Disaggregation). Der PD-Master-Knoten stellt WebSocket-Endpunkte bereit, die entsprechende Daten entgegennehmen. Für diese Schwachstelle liegt in den Quelldaten kein CVSS-Basiswert vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

Im Linux-Kernel wurde ein Use-After-Free-Fehler in der Funktion proc_readdir_de() behoben. Ein Prozessdeskriptor wurde aus dem rbtree entfernt, ohne den Knoten auf EMPTY zu setzen, was unter bestimmten Umständen zu einer Nutzung bereits freigegebenen Speichers führen konnte. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In der Node.js-Bibliothek launch-editor wird vor Version 2.9.0 das Argument „file” im Aufruf von launchEditor unzureichend bereinigt, wodurch ein Angreifer eine Schwachstelle ausnutzen kann. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Ein Fehler in der TLS-Hostnamenüberprüfung von Node.js erlaubt einem Angreifer, die Zertifikatsvalidierung zu umgehen. Betroffen sind laut Quelle alle unterstützten Release-Linien (u. a. Node.js 22 und Node.js 24). CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Node.js-Version aktualisieren.

Ghost ist ein auf Node.js basierendes Content-Management-System. In den Versionen ab 6.27.0 und vor 6.44.0 erlaubte der öffentliche Spenden-Checkout-Prozess einem nicht authentifizierten Angreifer, die Metadaten des Spenden-Checkouts zu kontrollieren. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Inkonsistenz beim Hostnamen-Abgleich in Node.js kann in mTLS-Setups mit mehreren Kontexten zu einer Umgehung der Trust-Policy führen. Betroffen sind laut Quelle alle unterstützten Release-Linien, darunter Node.js 22 und Node.js 24. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine bereitgestellte, korrigierte Node.js-Version aktualisieren.

Im Linux-Kernel wurde ein Speicherleck in der Funktion nfs4_ff_alloc_deviceid_node() des pNFS-FlexFiles-Treibers behoben. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die Distributions-Updates (z. B. Ubuntu USN-8393-1) einspielen.

Der Cache-Interceptor von undici behandelt laut NVD optionale Leerzeichen um das Gleichheitszeichen einer qualifizierten no-cache- oder private-Cache-Control-Direktive fehlerhaft. Betroffen sind Versionen von 7.0.0 bis vor 7.29.0 sowie ab Version 8.x; die Quellbeschreibung bricht bei der genauen oberen Versionsgrenze der 8er-Reihe ab. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Linux-Kernel wurde ein Double-Free-Fehler in der Funktion rockchip_usb2phy_probe() des Rockchip-USB2-PHY-Treibers behoben. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In undicis Retry-Interceptor kann nach einer Wiederholung oder Fortsetzung einer teilweisen Antwort eine Antwort ausgeliefert werden, deren tatsächliche Body-Länge nicht mit dem der Anwendung angezeigten Content-Length-Header übereinstimmt. Weitere Details zur betroffenen Versionsspanne führt die (abgeschnittene) Quellbeschreibung nicht vollständig aus. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Die setCookie-Funktion von undici bereinigt Cookie-Attribute laut NVD nicht vollständig. In Versionen vor 6.28.0, ab 7.0.0 bis vor 7.29.0 sowie ab 8.0.0 bis vor 8.9.0 wird ein Domain-Wert nicht ausreichend geprüft. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Zuordnung ist Node.js betroffen.

undici validiert laut NVD das type-Attribut eines duck-typed, Blob-artigen Request-Bodies nicht, bevor es als Content-Type-Header im HTTP/1.1-Dispatcher verwendet wird. Betroffen sind Versionen vor 6.28.0 sowie ab 7.0.0; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.