JavaScript: Node.js schließt Lücke im Brotli-Decoder

Das Node.js-Projekt hat Sicherheitsupdates für alle drei unterstützten Versionslinien der JavaScript-Laufzeitumgebung veröffentlicht. Die Versionen 26.12.1, 24.22.1 und 22.23.4 schließen zehn Schwachstellen. Vier davon sind als hoch eingestuft, drei als mittel und drei als niedrig.

Schreibfehler beim Entpacken

Die schwerwiegendste Lücke (CVE-2026-111497) steckt im Brotli-Decoder, den Node.js aus Googles Kompressionsbibliothek Brotli mitliefert. Beim Verarbeiten fehlerhafter Datenströme konnte der Decoder über die Grenzen eines Speicherbereichs hinaus schreiben. Damit ist unter Umständen das Ausführen von Schadcode möglich, wenn eine Anwendung von Angreifern kontrollierte Daten entpackt.

Ausgelöst werden kann der Fehler etwa über die Funktion fetch() oder das Webframework Express 5, die Brotli-komprimierte Antworten automatisch entpacken. Die Korrektur stammt aus dem Brotli-Projekt, das sie bereits im Februar 2026 vorgenommen hatte. Ein am 22. Oktober veröffentlichter Proof of Concept erreichte die Ausführung von Code nur auf einer absichtlich geschwächten Testversion. Angriffe in freier Wildbahn sind bislang nicht bekannt.

TLS- und DNS-Prüfungen umgehbar

Zwei weitere als hoch eingestufte Lücken betreffen die Prüfung von Hostnamen in TLS-Zertifikaten. Bei CVE-2026-105483 lässt sich die Prüfung umgehen, wenn eine IP-Adresse mit Unicode-Ziffern voller Breite geschrieben wird. Betroffen sind die Versionen 26.x und 24.x. CVE-2026-106069 betrifft Hostnamen, die nur lose als IP-Adresse interpretiert werden, und gilt für alle drei Versionslinien. Die vierte schwere Lücke (CVE-2026-105482) führt dazu, dass die Funktion dns.resolve Namen mit einem NUL-Zeichen abschneidet.

Zu den Lücken mittlerer und niedriger Stufe gehören Fehler bei der Behandlung von HTTP-Verbindungen, bei der Verarbeitung von ZIP-Dateien und im experimentellen Berechtigungsmodell. CVE-2026-106074 betrifft die Zwischenspeicher für Zufallswerte, die Funktionen wie crypto.randomUUID() und randomInt() nutzen. Darüber hinaus aktualisiert Node.js mitgelieferte Komponenten wie c-ares, OpenSSL, SQLite, Undici und die CA-Zertifikate.

Neu bauen statt nur aktualisieren

Das Node.js-Projekt empfiehlt, auf die korrigierten Versionen zu aktualisieren und Anwendungen, die die Laufzeitumgebung mitbringen, neu zu bauen. Node.js gehört zu den meistgenutzten Laufzeitumgebungen für Webanwendungen und kommt unter anderem bei großen Streaming- und Onlinediensten zum Einsatz. Es ist das letzte Sicherheitsupdate nach dem bisherigen Versionierungsmodell des Projekts.

(red)