CVE-2026-106070

Beschreibung

Ein Fehler in Node.js `zlib. ZipFile` API kann dazu führen, dass Bytes zurückgegeben werden, die nicht zum angeforderten Eintrag gehören, nachdem die Validierung des lokalen und zentralen Headers fehlgeschlagen ist. Wenn 'zipEntry.modified' in einem Archiv gelesen wird, dessen lokaler Header nicht mit seinem zentralen Verzeichnis übereinstimmt, entweder direkt oder beim Komprimieren des Archivs, wird der Validierungsfehler abgefangen, aber der analysierte lokale Header bleibt zwischengespeichert, ohne dass ein Inhaltsversatz vorhanden ist. Ein später gelesener Inhalt gibt dann angreifergesteuerte Bytes vom Anfang der Datei zurück, anstatt das Archiv abzulehnen, und die CRC-32-Verifizierung wird weiterhin bestanden, da der Angreifer das zentrale Verzeichnis CRC kontrolliert. Ein Node.js-basierter Scanner kann daher andere Inhalte genehmigen als andere ZIP-Implementierungsextrakte aus dem gleichen Archiv. Diese Sicherheitslücke betrifft Node.js **26.x**.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.