CVE-2026-105483
Beschreibung
Ein Fehler in der Node.js TLS-Hostname-Verifizierung ermöglicht es einem Zertifikat ohne übereinstimmende IP-Adresse SAN, eine Verbindung zu einer IPv4-Adresse zu authentifizieren, wenn der Host mit Nicht-ASCII-Zeichen wie Vollwertziffern geschrieben wird (`127.0.0.1`). `tls.checkServerIdentity()` hat solche Hosts nicht als IP-Adressen erkannt, obwohl sie sich normalisieren und auf eine normale IPv4-Adresse auflösen, und sie stattdessen mit den DNS-Namen und dem Common Name verglichen. Ein Zertifikat mit `DNS:127.0.0.1` oder `DNS:*.0.0.1` könnte daher für einen IP-Endpunkt akzeptiert werden, für den es nicht ausgestellt wurde. Dies ist eine Regression, die nach dem Fix für CVE-2026-48618 eingeführt wurde. Diese Sicherheitsanfälligkeit betrifft Node.js **26.x** und **24.x**.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.