„`html
Zusammenfassung
CVE-2026-75975 beschreibt eine kritische Validierungslücke im URI-Parser fast-uri für Node.js.
Die Schwachstelle ermöglicht es Angreifern, fehlerhafte IPv6-Adressen in eckigen Klammern so zu manipulieren,
dass sie in gültige, aber unerwartete IPv6-Ziele normalisiert werden. Dies führt zu Server-Side Request Forgery (SSRF)
und Umgehung von Adress-Policy-Kontrollen.
Betroffene Systeme
- fast-uri 2.3.1 bis 2.4.4
- fast-uri 3.0.0 bis 3.1.5
- fast-uri 4.0.0 bis 4.1.2
- Node.js-Anwendungen, die fast-uri zur URL-Normalisierung nutzen
Technische Details
Der Parser validiert bracketed IPv6-Literale unvollständig. Ungültige Trailing-Zeichen werden stillschweigend verworfen,
statt einen Fehler auszulösen. Beispiele:
- Malformed Literale normalisieren sich zur
::(Unspecified Address/Loopback) - Fehlerhafte Konstrukte kollabieren zu Private-Range-Adressen (z.B.
fc00::/7) - Kein Error-Flag wird gesetzt, sodass Standard-Error-Checks fehlschlagen
Angriffsbeispiel: Eine URL wie http://[::ffff:127.0.0.1INVALID]/path könnte
zu einer Loopback-Verbindung führen und lokale Services kompromittieren.
Empfohlene Massnahmen
- Sofort updaten: Upgrade auf fast-uri 2.4.5, 3.1.6 oder 4.1.3
- Input-Validierung: Zusätzliche URI-Validierung vor kritischen Operationen implementieren
- Netzwerk-Policies: Outbound-Verbindungen zu lokalen/privaten Ranges einschränken
- Error-Handling: Error-Flags nach URI-Parsing konsequent prüfen
- Dependency-Scanning: Regelmäßige Scans auf vulnerable Dependencies
Bewertung
CVSS 7.5 (High): Netzwerk-basierter Angriff ohne Authentifizierung. Das Risiko ist erheblich
für Anwendungen, die URLs vor Outbound-Requests normalisieren, Redirects handhaben oder Proxy-Routing implementieren.
Die fehlende Error-Signalisierung erschwert die Detektion erheblich. Patch-Verfügbarkeit vorhanden.
„`