Node.js schließt HTTP/2- und HTTPS-Lücken in drei unterstützten Versionen
Das Node.js-Projekt hat 16 Schwachstellen behoben, darunter mehrere Fehler in der integrierten HTTP/2-, HTTPS- und TLS-Serverlogik. Unauthentifizierte Clients können unter bestimmten Bedingungen Server zum Absturz bringen, Speicherinhalte anderer Verbindungen auslesen oder dauerhaft Speicher und Dateideskriptoren binden, schrieb das Projekt in seinem Sicherheitsadvisory.
Die festen Versionen sind 22.23.5, 24.22.3 und 26.13.1. Das Node.js-Projekt nennt die Aktualisierung auf die jeweils passende Version als einzige Lösung und führt keinen Workaround für nicht aktualisierbare Server auf.
CVE-2026-123863 betrifft HTTP/2-Server mit dem Standardverhalten, bereits vor dem vollständigen Eintreffen des Request-Bodys zu antworten. Ein Angreifer benötigt laut Projekt lediglich eine nicht authentifizierte Verbindung; der Angriff funktioniert über TLS und über unverschlüsselte Verbindungen und kann den Server zum Absturz bringen.
CVE-2026-123866 kann HTTP/2-Server dazu bringen, Speicherstücke an einen Client zu senden. Diese Daten können Antworten anderer Verbindungen enthalten. Ab Node.js 24.22.0 und 26.9.0 kann ein Client den Fehler allein auslösen; bei Node.js 22 und älteren Versionen der Linien 24 und 26 muss der Server einen Stream während einer Antwort schließen, etwa nach einem Leerlauf-Timeout.
CVE-2026-123864 betrifft HTTPS-Server, deren Handler res.flushHeaders() vor dem vollständigen Eingang des Request-Bodys aufrufen und später res.end() mit Daten verwenden. Das Projekt nennt als mögliche Speicherinhalte TLS-Schlüssel und Requests anderer Nutzer. Zusätzlich muss eine Route den Request-Body zurücksenden oder speichern, damit der Speicher ausgelesen werden kann. Reine HTTP-Server auf Basis von node:http sind von diesem Fehler nicht betroffen.
Weitere hoch bewertete Fehler können laut Advisory HTTP/2-Server dauerhaft Ressourcen binden, Serverspeicher beschädigen oder TLS-Server zum Absturz bringen. Ein weiterer TLS-Fehler erlaubt es einem für einen Hostnamen zugelassenen Client, während einer TLS-1.2-Neuverhandlung zu einem Hostnamen mit strengeren Clientzertifikatsregeln zu wechseln, ohne diese Regeln zu erfüllen.
Die Node.js-Linien 20.x und 25.x erhalten in diesem Release keinen Fix und bleiben nach Angaben des Projekts betroffen. Das Advisory meldet keine Angriffe, bei denen diese Schwachstellen bereits eingesetzt wurden.