CVE-2025-55130

CVE-2025-55130 beschreibt eine kritische Schwachstelle im Berechtigungsmodell von Node.js, die es Angreifern ermöglicht, die Einschränkungen für Dateisystemzugriffe (--allow-fs-read, --allow-fs-write) zu umgehen. Durch speziell präparierte relative Symlink-Pfade kann ein Skript, dem nur Zugriff auf das aktuelle Verzeichnis gewährt wurde, aus diesem Pfad ausbrechen. Dies führt zu einer Umgehung der erwarteten Isolationsgarantien und ermöglicht das beliebige Lesen und Schreiben von Dateien, was potenziell eine Systemkompromittierung nach sich ziehen kann.

Mit einem CVSS-Score von 9.1 wird diese Schwachstelle als kritisch eingestuft. Obwohl die Exploit-Wahrscheinlichkeit laut EPSS mit 2% derzeit niedrig ist und die Schwachstelle nicht in CISA KEV gelistet ist, ist das potenzielle Risiko aufgrund der weitreichenden Auswirkungen auf die Dateisystemintegrität erheblich. Die Betroffenheit erstreckt sich auf Node.js-Versionen v20, v22, v24 und v25, die das Berechtigungsmodell nutzen.

Security-Teams sollten die Entwicklung von Patches für Node.js-Installationen, die das Berechtigungsmodell verwenden, genau verfolgen. Eine schnelle Implementierung verfügbarer Updates ist dringend anzuraten, um die Umgehung der Dateisystemberechtigungen zu verhindern. Bis zur Verfügbarkeit von Patches sollten alternative Sicherheitskontrollen und eine genaue Überwachung von Node.js-Anwendungen in Betracht gezogen werden, um ungewöhnliche Dateizugriffe zu erkennen.