„`html
Zusammenfassung
Die Schwachstelle CVE-2026-44492 betrifft die HTTP-Client-Bibliothek Axios in Versionen vor 0.32.0 und 1.16.0. Ein kritisches Sicherheitsproblem liegt in der unzureichenden Normalisierung von IPv4-gemappten IPv6-Adressen vor. Dies ermöglicht es, die NO_PROXY-Konfiguration zu umgehen und interne Dienste über konfigurierte Proxy-Server zu erreichen, die eigentlich blockiert sein sollten.
Betroffene Systeme
Die Schwachstelle betrifft folgende Axios-Versionen:
- Axios < 0.32.0 (Legacy-Branch)
- Axios < 1.16.0 (Current-Branch)
Betroffene Umgebungen sind Browser- und Node.js-basierte Implementierungen des HTTP-Clients.
Technische Details
Das Kernproblem liegt in der fehlenden Normalisierung von IPv4-gemappten IPv6-Adressen (Format: ::ffff:x.x.x.x). Wenn die NO_PROXY-Umgebungsvariable IPv4-Adressen wie 127.0.0.1 oder 169.254.169.254 auflistet, wird Axios diese Einträge nicht korrekt mit ihren IPv6-Äquivalenten (::ffff:7f00:1, ::ffff:a9fe:a9fe) abgleichen.
Ein Angreifer kann gezielt IPv6-Schreibweisen verwenden, um die Proxy-Bypass-Filterung zu umgehen. Node.js löst diese Adressen automatisch zu ihren zugrunde liegenden IPv4-Hosts auf, wodurch Anfragen dennoch über den konfigurierten Proxy weitergeleitet werden. Dies ist besonders problematisch bei Zugriffen auf Metadaten-Endpunkte (169.254.169.254) in Cloud-Umgebungen.
Empfohlene Massnahmen
- Sofortiges Update auf Axios 0.32.0 oder 1.16.0 durchführen
- Abhängigkeiten in Package.json aktualisieren und testen
- NO_PROXY-Konfigurationen überprüfen und validieren
- Proxy-Logs auf verdächtige Zugriffe zu internen Diensten analysieren
- In CI/CD-Pipelines automatisierte Dependency-Updates implementieren
Bewertung
CVSS Score: 8.6 (High)
Diese Einstufung reflektiert das hohe Risiko bei Umgebungen mit sensiblen internen Diensten und Cloud-Metadaten-Endpunkten. Ein Patch ist verfügbar und sollte priorisiert werden.
„`