Installieren Sie umgehend die bereitgestellten Sicherheitsupdates der Hersteller für Node.js und alle betroffenen Produkte und Distributionen.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 9.1+16
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-55130, CVSS-Vektor AV:N/PR:N)+10
- EPSS 4.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 5 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2025-55132, CVE-2025-59464, CVE-2025-59466, CVE-2026-21636, CVE-2026-21637
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[UPDATE] [kritisch] Node.js: Mehrere Schwachstellen
Mehrere kritische Schwachstellen in Node.js ermöglichen Angreifern die Ausführung beliebigen Codes, Erlangen erweiterter Berechtigungen und Datenmanipulation. Betroffen sind diverse Node.js-Versionen sowie darauf basierende Produkte und Linux-Distributionen wie Debian, Red Hat und SUSE. Nutzern wird dringend empfohlen, die bereitgestellten Sicherheitsupdates der Hersteller umgehend zu installieren.
SecBoard-Einordnung
Diese Schwachstellen können zur vollständigen Kompromittierung von Systemen führen, die Node.js nutzen, was die Integrität, Vertraulichkeit und Verfügbarkeit von Daten und Diensten gefährdet.
Realistisch schlimmster Fall: Angreifer könnten beliebigen Code ausführen, erweiterte Berechtigungen erlangen, Sicherheitsmaßnahmen umgehen, Daten manipulieren und sensible Informationen offenlegen, was zu einem vollständigen Systemkompromiss führen kann.
Key Facts
- CVSS
- 9.1 · CRITICAL
- EPSS
- 1.7%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- Patch
- unbekannt
- CVSS
- 7.5 · HIGH
- EPSS
- 4.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Verfügbarkeit
- Patch
- unbekannt
- CVSS
- 7.1 · HIGH
- EPSS
- 3.5%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Diverse Node.js-Versionen, darauf basierende Produkte und Linux-Distributionen wie Debian, Red Hat und SUSE sind betroffen. Auch HCL BigFix WebUI und IBM Business Automation Workflow sind betroffen.
Prüfen
3- ▸Überprüfen Sie alle Systeme auf die installierte Node.js-Version und identifizieren Sie betroffene Instanzen.
- ▸Stellen Sie sicher, dass alle Abhängigkeiten und darauf basierenden Produkte ebenfalls auf die neuesten, gepatchten Versionen aktualisiert werden.
▸ 1 weitere▾ weniger
- ▸Scannen Sie Ihre Umgebung auf Anzeichen von Kompromittierung, insbesondere auf ungewöhnliche Prozessausführungen oder Dateizugriffe im Zusammenhang mit Node.js-Anwendungen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
- ▸Details zu den genauen Auswirkungen der Datenmanipulation sind nicht spezifiziert.
- ▸Die genauen Versionen von Node.js, die betroffen sind, sind nicht im Detail aufgeführt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir Oracle extern erreichbar?
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„sensible Informationen offenlegen“
„Angreifern die Ausführung beliebigen Codes“
„Erlangen erweiterter Berechtigungen“
„Datenmanipulation“
„Sicherheitsmaßnahmen umgehen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.