fastify: Denial-of-Service-kwetsbaarheid door onafgehandelde uitzondering op HTTP/2-servers (CVE-2026-92081)

Wat is er gebeurd

Er is een kwetsbaarheid bekendgemaakt in fastify die routes treft die een response trailer registreren via reply.trailer() wanneer deze via HTTP/2 worden aangeboden. In versies vóór 5.12.5 stelt fastify onvoorwaardelijk de header Transfer-Encoding: chunked in op dergelijke responses. Deze header is echter verboden binnen het HTTP/2-protocol, waardoor Node.js een uitzondering genereert tijdens het serialiseren van de responseheaders. Omdat deze uitzondering niet wordt afgevangen, ontstaat er een onafgehandelde uitzondering die het gehele serverproces laat crashen, waarbij alle lopende verzoeken worden afgebroken.

Technische oorzaak

De onderliggende oorzaak is een onafgehandelde uitzondering (CWE-248), veroorzaakt door een protocolschending: fastify stelt de header Transfer-Encoding: chunked in ongeacht de gebruikte HTTP-versie, terwijl HTTP/2 deze header expliciet verbiedt. De HTTP/2-implementatie van Node.js genereert een fout zodra deze probeert responseheaders met dit verboden veld te serialiseren, en fastify vangt deze fout niet af, waardoor het proces crasht.

Waarom dit belangrijk is

Eén enkel, ongeauthenticeerd HTTP/2-verzoek naar een route die response trailers gebruikt, volstaat om een kwetsbare fastify-server te laten crashen. Omdat het proces volledig stopt, worden alle op dat moment lopende verzoeken afgebroken. De aanval kan bovendien na elke herstart opnieuw worden uitgevoerd, wat een aanhoudende en laagdrempelige denial-of-service-situatie mogelijk maakt.

Wie wordt getroffen

Elke applicatie die gebruikmaakt van fastify-versies vóór 5.12.5, verkeer via HTTP/2 aanbiedt én reply.trailer() gebruikt om response trailers op een of meer routes te registreren, is kwetsbaar.

Getroffen versies

fastify-versies vanaf 0 tot, maar niet inclusief, 5.12.5 zijn kwetsbaar.

Oplossingen en mitigatie

Het probleem is verholpen in fastify versie 5.12.5. Gebruikers wordt aangeraden te updaten naar 5.12.5 of nieuwer. Als tijdelijke workaround kan het registreren van response trailers via reply.trailer() op routes die via HTTP/2 worden aangeboden, worden vermeden totdat de update is doorgevoerd.

Aanbevolen actie

Update kwetsbare fastify-installaties zo snel mogelijk naar versie 5.12.5 of hoger. Is directe update niet mogelijk, verwijder of vermijd dan voorlopig aanroepen van reply.trailer() op routes die via HTTP/2 worden aangeboden.