🟠 CVE-2026-75899: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-75899 betrifft die Node.js URI-Parser-Bibliothek fast-uri und ermöglicht es Angreifern, doppelt kodierte URIs so zu manipulieren, dass sie zu unerwarteten Netzwerkzielen führen. Dies kann zu Server-Side Request Forgery (SSRF) und Umgehung von Host-Policy-Überprüfungen führen. Die Schwachstelle hat einen CVSS-Score von 7.5 und wird als „High“ klassifiziert.

Betroffene Systeme

• fast-uri Version 2.4.1 bis 2.4.4
• fast-uri Version 3.1.2 bis 3.1.5
• fast-uri Version 4.0.0 bis 4.1.2

Alle Node.js-Anwendungen, die die betroffenen Versionen zur URI-Normalisierung oder -Auflösung verwenden, sind betroffen.

Technische Details

Das Kernproblem liegt in der doppelten Dekodierung von Prozentzeichen-Escape-Sequenzen. RFC 3986 Section 2.4 besagt eindeutig, dass eine Implementierung denselben String nicht mehrfach dekodieren darf. Fast-uri verletzt diese Anforderung, indem es zunächst während des Parsens und erneut während der Authority-Rekonstruktion dekodiert.

Ein Angreifer kann diese Schwachstelle nutzen, um doppelt kodierte Hosts zu missbrauchen. Ein Beispiel: Ein doppelt kodierter Hostname, der ein Loopback-Adresse darstellt (z.B. „127.0.0.1″), wird nach einer Operation in die echte Loopback-Adresse dekodiert. Dies ermöglicht SSRF-Attacken, bei denen eine Anwendung zu internen Ressourcen weitergeleitet wird, obwohl sie validiert wurde.

Dies ist eine unvollständige Behebung von CVE-2026-6322, da die bisherigen Patches nicht alle Dekodierungsschritte adressiert haben.

Empfohlene Massnahmen

• Sofortiges Upgrade auf fast-uri 2.4.5, 3.1.6 oder 4.1.3
• Überprüfung aller Anwendungen auf die Verwendung betroffener Versionen
• Implementierung zusätzlicher URI-Validierungen vor kritischen Operationen
• Aktivierung von Host-Whitelisting und Redirect-Validierung
• Monitoring auf verdächtige URI-Muster mit mehrfachen Enkodierungen

Bewertung

CVSS Score: 7.5 (High)

Angriffsvektor: Network

Verfügbarkeit von Patches: Ja – Version 2.4.5, 3.1.6 und 4.1.3 enthalten Korrektionen, die eine einfache Normalisierung durchführen und kodierte Prozentzeichen bewahren.

Das Risiko ist erheblich für Anwendungen, die URIs vor Outbound-Routing oder Redirect-Validierung verarbeiten.

„`