„`html
Zusammenfassung
CVE-2026-15631 ist eine High-Severity-Sicherheitslücke in @fastify/http-proxy (Versionen 9.4.0 bis 11.5.0), die eine unzureichende Validierung von WebSocket-Zielpfaden ermöglicht. Angreifer können mittels Path-Traversal-Sequenzen den konfigurierten Rewrite-Prefix umgehen und auf nicht freigegebene Upstream-Endpoints zugreifen.
Betroffene Systeme
- @fastify/http-proxy Versionen 9.4.0 bis einschlieĂźlich 11.5.0
- Systeme mit WebSocket-Proxy-Konfigurationen
- Produktionsumgebungen mit Raw-HTTP-Clients oder Downstream-Proxies ohne Path-Normalisierung
Technische Details
Die Vulnerabilität liegt in der WebSocketProxy.findUpstream()-Methode. Das WHATWG-URL-Konstrukt-Parsing kollapst Dot-Segmente (.. Sequenzen), wodurch Path-Traversal möglich wird. Ein manipuliertes Upgrade-Request mit Traversal-Sequenzen kann aus dem definierten Rewrite-Prefix ausbrechen.
Dies ist eine Variante von CVE-2021-21322 in einem Code-Pfad, der das damalige HTTP-Fix in fastify/reply-from nicht durchlaufen hat. Entscheidender Unterschied: Browser und das ws-Package normalisieren Request-Pfade vor dem Versand. Raw-HTTP-Clients oder nicht-normalisierende Downstream-Proxies ermöglichen die Ausnutzung in produktiven Topologien.
CVSS-Score: 8.7 (High)
Empfohlene Massnahmen
- Sofortige Aktion: Upgrade auf @fastify/http-proxy Version 11.6.0 oder höher durchführen
- Alle betroffenen Dependencies in Abhängigkeitsverwaltung überprüfen
- WebSocket-Proxy-Konfigurationen ĂĽberprĂĽfen und Rewrite-Prefix-Regeln validieren
- Netzwerk-Traffic-Monitoring für verdächtige WebSocket-Upgrade-Requests implementieren
- Upstream-Endpoints hinter dem Proxy ĂĽberprĂĽfen auf unbefugten Zugriff
Bewertung
Mit einem CVSS-Score von 8.7 ist diese Vulnerabilität kritisch zu behandeln. Die Exploitbarkeit ist auf spezifische Client-Konfigurationen begrenzt, erhöht aber das Risiko in heterogenen Netzwerk-Architekturen erheblich. Ein umgehender Patch ist verfügbar und sollte ohne Verzögerung eingespielt werden. Workarounds existieren nicht.
„`