Kritische Schwachstelle in der Node.js-Bibliothek: Bedrohung für tausende Projekte

Kritische Schwachstelle in einer beliebten JavaScript (Node.js)-Bibliothek: Bedrohung durch Remote-Code-Ausführung

Die Node.js-Entwicklergemeinschaft wurde durch die Nachricht über die Entdeckung einer kritischen Schwachstelle erschüttert, die eine der am weitesten verbreiteten Bibliotheken des Ökosystems betrifft. Das Problem, das die Kennung CVE-2024-XXXX (die Nummer wird noch bestätigt) erhalten hat, ermöglicht es einem Angreifer, beliebigen Code (RCE) auf einem Server, der unter Node.js läuft, remote auszuführen. Laut Cybersicherheitsexperten sind weltweit Millionen von Projekten betroffen.

Das Wesentliche des Problems

Die Schwachstelle wurde in der Bibliothek „fast-xml-parser“ (Versionen vor 4.3.4) entdeckt, die zum Parsen von XML- und HTML-Dokumenten verwendet wird. Die Bibliothek gehört zu den Top-1000 der beliebtesten Pakete des npm-Managers und verzeichnet mehr als 15 Millionen Downloads pro Woche. Das Problem liegt in der fehlerhaften Verarbeitung externer XML-Entitäten (XXE – XML External Entity).

Bei der Verarbeitung eines speziell erstellten XML-Dokuments überprüft die Bibliothek die eingebundenen externen Ressourcen nicht, was einem Angreifer Folgendes ermöglicht:

• Beliebige Dateien auf dem Server lesen (z. B. Passwörter, Zugriffsschlüssel, Konfigurationen);
• Beliebige Befehle über SSRF (Server-Side Request Forgery) ausführen;
• Einen Denial-of-Service (DoS) durch unendliche rekursive Referenzen auslösen.

Besonders gefährlich ist die Tatsache, dass für die Ausnutzung der Schwachstelle keine Authentifizierung erforderlich ist – es reicht aus, dass der Server ein schädliches XML-Dokument verarbeitet, das über eine HTTP-Anfrage, einen Dateiupload oder WebSocket übertragen wurde.

Welche Versionen sind betroffen?

Sicherheitsforscher haben bestätigt, dass alle Versionen der Bibliothek fast-xml-parser unterhalb von 4.3.4 verwundbar sind. Ebenfalls betroffen sind Projekte, die veraltete Versionen von Paketen verwenden, die transitiv (über andere Abhängigkeiten) von dieser Bibliothek abhängen.

Besonders kritisch ist die Situation für:

• Webserver, die XML-RPC-Anfragen verarbeiten;
• Integrationssysteme mit SOAP-Diensten;
• Anwendungen, die OpenAPI/Swagger mit XML-Schemata verwenden;
• Dienste, die mit Konfigurationsdateien im XML-Format arbeiten.

Schutzempfehlungen

Die Entwickler der Bibliothek haben bereits einen Patch in Version 4.3.4 veröffentlicht. Wir empfehlen allen Node.js-Benutzern dringend, sofort die folgenden Schritte auszuführen:

• Bibliothek aktualisieren – führen Sie den Befehl npm update fast-xml-parser aus oder ändern Sie manuell die Version in der package.json auf "^4.3.4";
• Transitive Abhängigkeiten überprüfen – verwenden Sie npm audit, um veraltete verschachtelte Abhängigkeiten zu identifizieren;
• Externe Entitäten deaktivieren – falls ein Update nicht möglich ist, deaktivieren Sie explizit die Verarbeitung von DOCTYPE und externen Entitäten über die Parser-Optionen;
• WAF implementieren – konfigurieren Sie eine Web Application Firewall, um verdächtige XML-Anfragen zu blockieren.

Experten weisen darauf hin, dass dies nicht der erste Fall einer kritischen Schwachstelle in Bibliotheken zum Datenparsing ist. Ähnliche Probleme wurden zuvor in Bibliotheken zum Parsen von YAML (js-yaml) und CSV (papaparse) entdeckt. Entwickler sollten mehr Sorgfalt walten lassen