CVE-2026-106072
Beschreibung
Ein Fehler in der Node.js TLS-Hostname-Verifizierung ermöglicht es einem Zertifikat mit nur einem DNS-SAN, einen IP-Endpunkt zu authentifizieren, wenn der Client eine nicht-kanonische IPv4-Schreibweise wie `0177.0.0.1`, `0x7f.0.0.1`, `2130706433` oder `127.1` verwendet. `tls.checkServerIdentity()` hat diese Hosts nicht als IP-Adressen klassifiziert, sondern sie auf ihre kanonische Form normalisiert und das Ergebnis mit den Zertifikat-DNS-Namen verglichen. Ein Zertifikat mit `DNS:127.0.0.1` und keine `IP-Adresse:127.0.0.1` SAN wurde daher akzeptiert, während das gleiche Zertifikat korrekt für `127.0.0.1` abgelehnt wird. Exploitation erfordert ein Zertifikat mit einem numerischen DNS-SAN, das von einer CA ausgestellt wurde, der der Client vertraut, und einen Plattform-Resolver, der diese Schreibweisen akzeptiert, wie glibc. Diese Sicherheitsanfälligkeit betrifft Node.js **26.x**, **24.x** und **22.x**.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.