Node.js – Rechteausweitung unter Linux durch fehlerhafte Capability-Prüfung

Beschreibung

Node.js ignoriert unter Linux laut NVD bestimmte Umgebungsvariablen, die von einem unprivilegierten Nutzer gesetzt worden sein könnten, während der Prozess mit erhöhten Rechten läuft – mit Ausnahme von CAP_NET_BIND_SERVICE. Ein Implementierungsfehler bei dieser Ausnahme führt jedoch dazu, dass Node.js sie fälschlicherweise auch anwendet, wenn zusätzlich weitere Capabilities gesetzt wurden. Dadurch können unprivilegierte Nutzer Code einschleusen, der die erhöhten Rechte des Prozesses erbt. CVSS-Basiswert: 7.8 (Hoch).

Changelog

1. 2026-07-27 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Node.js

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• HP OpenView Network Node Manager – Remote Code Execution KEV CVE-2005-2773
• Linux Kernel – Improper Authentication in cgroup_release_agent_write KEV CVE-2022-0492
• System Information Library für Node.JS – Command Injection KEV CVE-2021-21315
• Sweet32 – DES/Triple-DES Birthday-Angriff (CVE-2016-2183) CVE-2016-2183
• Synology-SA-22:21 OpenSSL – Weitere Schwachstelle in OpenSSL CVE-2022-3786