TLS- und DNS-Pr\u00fcfungen umgehbar<\/p>\n
26.10.2026<\/p>\n
2 Min. Lesezeit<\/p>\n
Die Sicherheitsupdates 26.12.1, 24.22.1 und 22.23.4 beheben vier schwere L\u00fccken, darunter einen Speicherfehler beim Entpacken von Brotli-Daten.<\/p>\n
Das Node.js-Projekt hat Sicherheitsupdates f\u00fcr alle drei unterst\u00fctzten Versionslinien der JavaScript-Laufzeitumgebung<\/a> ver\u00f6ffentlicht. Die Versionen 26.12.1, 24.22.1 und 22.23.4 schlie\u00dfen zehn Schwachstellen. Vier davon sind als hoch eingestuft, drei als mittel und drei als niedrig.<\/p>\n Schreibfehler beim Entpacken<\/p>\n Die schwerwiegendste L\u00fccke (CVE-2026-111497) steckt im Brotli-Decoder, den Node.js aus Googles Kompressionsbibliothek Brotli mitliefert. Beim Verarbeiten fehlerhafter Datenstr\u00f6me konnte der Decoder \u00fcber die Grenzen eines Speicherbereichs hinaus schreiben. Damit ist unter Umst\u00e4nden das Ausf\u00fchren von Schadcode m\u00f6glich, wenn eine Anwendung von Angreifern kontrollierte Daten entpackt. <\/p>\n Ausgel\u00f6st werden kann der Fehler etwa \u00fcber die Funktion fetch() oder das Webframework Express 5, die Brotli-komprimierte Antworten automatisch entpacken. Die Korrektur stammt aus dem Brotli-Projekt, das sie bereits im Februar 2026 vorgenommen hatte. Ein am 22. Oktober ver\u00f6ffentlichter Proof of Concept erreichte die Ausf\u00fchrung von Code nur auf einer absichtlich geschw\u00e4chten Testversion. Angriffe in freier Wildbahn sind bislang nicht bekannt.<\/p>\n TLS- und DNS-Pr\u00fcfungen umgehbar<\/p>\n Zwei weitere als hoch eingestufte L\u00fccken betreffen die Pr\u00fcfung von Hostnamen in TLS-Zertifikaten<\/a>. Bei CVE-2026-105483 l\u00e4sst sich die Pr\u00fcfung umgehen, wenn eine IP-Adresse mit Unicode-Ziffern voller Breite geschrieben wird. Betroffen sind die Versionen 26.x und 24.x. CVE-2026-106069 betrifft Hostnamen, die nur lose als IP-Adresse interpretiert werden, und gilt f\u00fcr alle drei Versionslinien. Die vierte schwere L\u00fccke (CVE-2026-105482) f\u00fchrt dazu, dass die Funktion dns.resolve Namen mit einem NUL-Zeichen abschneidet.<\/p>\n Zu den L\u00fccken mittlerer und niedriger Stufe geh\u00f6ren Fehler bei der Behandlung von HTTP-Verbindungen, bei der Verarbeitung von ZIP-Dateien und im experimentellen Berechtigungsmodell. CVE-2026-106074 betrifft die Zwischenspeicher f\u00fcr Zufallswerte, die Funktionen wie crypto.randomUUID() und randomInt() nutzen. Dar\u00fcber hinaus aktualisiert Node.js mitgelieferte Komponenten wie c-ares, OpenSSL, SQLite, Undici und die CA-Zertifikate.<\/p>\n Neu bauen statt nur aktualisieren<\/p>\n Das Node.js-Projekt empfiehlt, auf die korrigierten Versionen zu aktualisieren und Anwendungen, die die Laufzeitumgebung mitbringen, neu zu bauen. Node.js geh\u00f6rt zu den meistgenutzten Laufzeitumgebungen f\u00fcr Webanwendungen und kommt unter anderem bei gro\u00dfen Streaming- und Onlinediensten<\/a> zum Einsatz. Es ist das letzte Sicherheitsupdate nach dem bisherigen Versionierungsmodell des Projekts.<\/p>\n (red)<\/p>\n","protected":false},"excerpt":{"rendered":"TLS- und DNS-Pr\u00fcfungen umgehbar 26.10.2026 2 Min. Lesezeit Die Sicherheitsupdates 26.12.1, 24.22.1 und 22.23.4 beheben vier schwere L\u00fccken,…\n","protected":false},"author":2,"featured_media":352566,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[15],"tags":[46,45,60,59,44,64,61,63,62],"class_list":["post-352565","post","type-post","status-publish","format-standard","has-post-thumbnail","category-wissenschaft-technik","tag-ch","tag-schweiz","tag-science","tag-science-technology","tag-switzerland","tag-technik","tag-technology","tag-wissenschaft","tag-wissenschaft-technik"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@ch_de\/117508477408503227","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/352565","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/comments?post=352565"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/posts\/352565\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media\/352566"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/media?parent=352565"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/categories?post=352565"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/ch-de\/wp-json\/wp\/v2\/tags?post=352565"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}