CVE-2026-105482
Beschreibung
Ein Fehler in Node.js DNS-Auflösung ermöglicht es, Hostnamen, die ein NUL-Byte enthalten, stillschweigend durch die Funktionen dns.resolve*() und dns.reverse() zu kürzen. Dies ist ein unvollständiger Fix von CVE-2026-48930, der nur dns.lookup() und die Net/TLS-Hostoptionen abdeckte. Da der Name als C-Zeichenfolge an c-ares übergeben wird, fragt das Auflösen von attacker.example\0.trusted.example attacker.example ab und gibt seine Datensätze ohne Fehler zurück. Anwendungen, die einen Hostnamen validieren, z. B. gegen eine Domain-Erlaubnisliste, und ihn dann mit dns.resolve*() auflösen, können auf Datensätze für einen anderen Namen als den validierten reagieren. Diese Sicherheitsanfälligkeit betrifft Node.js 26.x, 24.x und 22.x.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.