Node.js veröffentlicht 10 kritische CVEs mit hohen Schwachstellen in HTTP/2 und im Berechtigungsmodell

Die Node.js-Stiftung hat am Mittwoch, den 29. Juli, eine Sicherheitsrunde veröffentlicht, die 10 Schwachstellen in einem einzigen Fenster behebt, drei davon als HOCH eingestuft. Die Versionen 22.23.2, 24.18.1 und 26.5.1 enthalten die Patches sowie Aktualisierungen in undici (auf 6.28.0, 7.29.0 und 8.9.0) und im Parser llhttp 9.4.3. Die Veröffentlichung war ursprünglich für den 28. Juli angesetzt und wurde um 24 Stunden aufgrund von Infrastrukturproblemen des eigenen Release-Teams verschoben.

Die Anzahl an HOCH ist bemerkenswert: In vorherigen Runden seit 2026 wurden von Node.js zwischen ein und zwei kritische Schwachstellen pro Quartal veröffentlicht. Drei auf einmal, alle mit Netzwerkvektor oder Sandbox-Umgehung, markiert das zweite Fenster in fünf Jahren, in dem die Version 24 LTS Patches mit einem Gewicht veröffentlicht, das dem der Runden von 2021 entspricht, in der Folge der Bugs bei HTTP/1.1 Request Smuggling.

Was ist in jedem HOCH enthalten

Die CVE-2026-56846 betrifft den HTTP/2-Server in den Versionen 22 und 24. In der HTTP/2-Sitzung zurückgehaltene Header können die Grenze von maxSessionMemory überschreiten, was den Weg für eine remote Speicherausnutzung ohne Authentifizierung öffnet. Ein bösartiger Client, eine lange Sitzung und eine Reihe von gut formatierten großen Headern genügen. Die nicht gepatchte Minderung besteht darin, maxHeaderListPairs und maxSessionMemory auf aggressive Werte zu reduzieren, zu Lasten der Kompatibilität mit realen Clients.

Die CVE-2026-56848 betrifft alle drei aktiven Versionen. Es handelt sich um einen Use-after-free in nghttp2_session_mem_send, wenn der Versand der Sitzung innerhalb eines Rückrufs erneut aufgerufen wird. Diese Schwachstelle kann mit gefälschten HTTP/2-Paketen ausgenutzt werden, die den Server zwingen, in einen Versandzyklus innerhalb eines anderen einzutreten, und die daraus resultierende Heap-Korruption ermöglicht in realistischen Szenarien die Ausführung von beliebigem Code. Das Team von nghttp2 upstream war bereits vor der koordinierten Veröffentlichung informiert worden.

Die CVE-2026-58043 betrifft das Berechtigungsmodell, eine Funktion, die in Node 20 hinzugefügt wurde, um Aufrufe an Dateien und das Netzwerk über die Flags --allow-fs-read und --allow-fs-write einzuschränken. Der Fehler liegt in der radix-tree-Struktur, die Pfadpräfixe verbindet: Eine Anwendung, die berechtigt ist, /var/data zu lesen, kann mit einer missbräuchlichen Präfixgrenze auch /var/data.pem oder /var/database lesen, Dateien, von denen der Betreiber glaubte, sie wären außerhalb der Erlaubenliste. Für diejenigen, die dem Berechtigungsmodell vertrauen, um Plugins oder Drittanbieterfunktionen innerhalb desselben Prozesses zu isolieren, gilt die Annahme der Isolierung bis zum Upgrade nicht.

Eine Nachricht zum Berechtigungsmodell

Der Fix selbst ist einfach. Was zählt, ist das Muster. Das Berechtigungsmodell wurde im Zyklus von Node 22 von experimentell auf stabil hochgestuft, und Plattformteams in Fintechs, Dienstanbietern und SaaS haben damit begonnen, es als kostengünstige Verteidigungsebene gegen bösartige Drittanbieterbibliotheken zu integrieren. Mit CVE-2026-58043 und den drei zusätzlichen niederen Schwachstellen in dieser Runde (58039, 56847, 58044), die zeigen, dass das Berechtigungsmodell in mindestens vier unabhängigen Pfaden Schwachstellen aufweist, muss der CISO, der die Haftung für RCE in einer kritischen App auf Basis dieser Abschwächung unterschrieben hat, die Risikoanalyse erneut durchführen.

Die vernünftige Lesart besteht nicht darin, die Funktion aufzugeben, sondern den Kredit, den sie im Bedrohungsmodell erhält, herabzusetzen. Isolation durch separate Prozesse, seccomp und cgroups bieten nach wie vor Garantien, die das reine Berechtigungsmodell noch nicht liefert.

Wo der Schmerz zuerst auftritt

In den Vereinigten Staaten müssen Plattformanbieter für serverlose Dienste, die Clientfunktionen über die verwaltete Node.js-Laufzeit ausführen, wie AWS Lambda, Vercel und Cloudflare, entscheiden, ob sie die neue Version vor der regulären Wartung einspielen oder eine Mitigierung durch WAF an der HTTP/2-Front anwenden. AWS veröffentlicht historisch gesehen den Zeitplan mit einer Verzögerung von zwei bis vier Tagen gegenüber dem Upstream-Release, und Enterprise-Kunden erhalten normalerweise die spezifische Mitteilung über HTTP/2, bevor sie der allgemeinen Öffentlichkeit zugänglich gemacht wird.

In Brasilien konzentrieren sich Fintechs und Unternehmen im Zahlungssektor auf die intensive Nutzung der Laufzeit, darunter Nubank, Stone und Ebanx. Für SRE-Teams, die weiterhin eine große Flotte in Node 22 außerhalb automatisch aktualisierter Container betreiben, bedeutet die Runde, dass eine Bereitstellungsfenster außerhalb der Geschäftszeiten in den nächsten Tagen erforderlich ist. In Indien unterstützen TCS und Infosys Unternehmens-Backends für globale Kunden, die Node.js in Wartungsverträgen betreiben, und das Application Security-Team dieser Partner wird oft als erstes nach dem Nachweis des Patches gefragt.

Das Detail zu llhttp

Während der Fokus auf HTTP/2 liegt, korrigiert das stille Bump von llhttp auf 9.4.3 die CVE-2026-58044 von Request Smuggling in HTTP/1.1, wenn Header abgeschnitten werden. Es handelt sich um eine Art von Korrektur, die selten Schlagzeilen macht und die im Post-Mortem des Vorfalls im nächsten Quartal erscheint. Ein Update ist auch für Dienste sinnvoll, die HTTP/2 aus politischen Gründen blockieren, wie es viele Broker für Finanz-APIs noch tun.