„`html
Zusammenfassung
Die Schwachstelle CVE-2025-71329 betrifft das npm-Paket „image-size“ in Version 2.0.2 und älter. Eine Denial-of-Service (DoS) Schwachstelle ermöglicht es Angreifern, die Node.js Event Loop dauerhaft zu blockieren. Durch speziell präparierte Bilddateien mit manipulierten Box-Strukturen können Anwendungen zum Absturz gebracht oder eingefroren werden. Der CVSS-Score von 7.5 klassifiziert diese als High-Severity-Sicherheitslücke.
Betroffene Systeme
Betroffen sind primär Node.js-Anwendungen, die das npm-Paket „image-size“ in Version 2.0.2 oder älter einsetzen. Die Schwachstelle manifestiert sich speziell in den JXL- und HEIF-Bildparsern. Server und Anwendungen, die Benutzern die Möglichkeit bieten, Bilddateien hochzuladen oder zu verarbeiten, sind besonders gefährdet.
Technische Details
Die Schwachstelle liegt in der Verarbeitung von Box-Strukturen in JXL- und HEIF-Bildern. Wenn ein Bild einen Box-Header mit dem Größenwert Null enthält, springt der Offset-Zeiger nicht vorwärts. Dies führt zu einer Endlosschleife im Parser, da die Bedingung zum Beenden der Schleife nie erfüllt wird. Der Prozess verbleibt in diesem Zustand, blockiert den Event Loop und macht die gesamte Node.js-Anwendung unbenutzbar.
Angriffsszenario: Ein Angreifer lädt eine präparierte Bilddatei auf einen anfälligen Server hoch. Der image-size Parser wird aufgerufen, um die Bildabmessungen zu ermitteln. Statt schnell zurückzukehren, gerät der Parser in eine Endlosschleife und blockiert alle anderen Anfragen.
Empfohlene Massnahmen
- Sofortmaßnahme: Input-Validierung für Bilddateien implementieren – Größe und Format vorab prüfen
- Timeout-Mechanismen: Processing-Timeouts für Bildverarbeitung setzen
- Update-Planung: Auf eine gepatchte Version von image-size aktualisieren, sobald verfügbar
- Sandboxing: Bildverarbeitung in isolierten Prozessen durchführen
- Monitoring: CPU- und Memory-Auslastung überwachen für DoS-Erkennung
Bewertung
Mit einem CVSS-Score von 7.5 und verfügbarem Netzwerkangriffsvektor erfordert diese Schwachstelle sofortige Aufmerksamkeit. Da kein Patch verfügbar ist, sind Mitigationsmaßnahmen zwingend erforderlich. Organisationen sollten alternative Bildverarbeitungsbibliotheken evaluieren oder Kompensationskontrollen implementieren.
„`