@angular/router: Denial of Service durch fehlerhaftes Routen-Matching von Empty-Path-Outlets beim Server-Side-Rendering (SSR)
In @angular/router wurde eine Denial-of-Service-Schwachstelle (DoS) festgestellt, wenn Server-Side Rendering (SSR) unter Node.js (V8) aktiviert ist.
Während der Routenerkennung versäumt es @angular/router zu überprüfen, ob ein zusätzliches Outlet-Segment in der URL mit einer Route übereinstimmt, die für diesen spezifischen Outlet-Namen konfiguriert ist. Da nicht konfigurierte Empty-Path-Outlet-Gruppen (wie a:/(), x:/(...) oder ///(...)) beim Abgleich nicht abgewiesen werden, wertet der Router die Routenkonfiguration wiederholt für jedes beliebige in der URL übergebene Outlet-Segment neu aus.
Wenn eine Anfrage-URL mehrere beliebige Empty-Path-Outlet-Segmente enthält, erzwingt dieser fehlerhafte Abgleich, dass der Router doppelte ActivatedRouteSnapshot-Bäume instanziiert, canMatch-Guards und Route-Resolver wiederholt ausführt sowie separate Kopien von Routenparametern und queryParams für jedes nicht konfigurierte Outlet zuweist.
Ein nicht authentifizierter Angreifer aus der Ferne kann dieses Verhalten ausnutzen, indem er Anfragen mit manipulierten Outlet-Segmenten sendet, um den Node.js-Speicherheap zu erschöpfen oder CPU-Ressourcen zu überlasten, was zum Abbruch von SSR-Worker-Prozessen und zu Dienstunterbrechungen führt.
Auswirkungen
Eine erfolgreiche Ausnutzung ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, den Node.js-Heap mit einer einzelnen manipulierten Anfrage oder einer kleinen Anzahl gleichzeitiger Anfragen zu erschöpfen und den SSR-Worker-Prozess durch einen fatalen JavaScript-Heap-Out-of-Memory-Absturz zu beenden. Wenn die abgeglichenen Routen canMatch-Guards oder -Resolver deklarieren, kann bereits eine einzelne kurze Anfrage wiederholte Guard- oder Resolver-Ausführungen auslösen, was die Last auf Backend-Dienste erhöht und Worker-Verbindungen offen hält.
- Flüchtige Allokation: Der Speicher wird freigegeben, sobald die Routenerkennung abgeschlossen ist; es liegt kein dauerhaftes Speicherleck vor. Die primäre Auswirkung ist die Beendigung des Prozesses.
- Client-seitige SPAs nicht betroffen: Client-seitige Angular-Anwendungen, die im Browser ausgeführt werden, sind nicht verwundbar, da der Speicherverbrauch im Browser keine Sicherheitsgrenze überschreitet.
- Prerendering (SSG) nicht betroffen: Das Prerendering zur Build-Zeit verarbeitet keine vom Angreifer bereitgestellten Anfrage-URLs.
Angriffsvoraussetzungen & verwundbare Konfigurationen
Eine Anwendung ist nur betroffen, wenn alle folgenden Bedingungen erfüllt sind:
- SSR aktiviert: Die Anwendung wird on-demand auf einem Node.js- / V8-Server gerendert.
- Anfällige Routenkonfiguration: Mindestens eine Ebene der Routenkonfiguration enthält entweder:
- eine Route mit leerem Pfad (
path: "") (z. B.{path: "", component: ShopPage}) oder - eine Route, die einem benannten Outlet zugewiesen ist (z. B.
{path: "dashboard", children: [{path: ":id", outlet: "detail", component: DetailPanel}]}).
- eine Route mit leerem Pfad (
- Weiterleitung der Request-Zeile durch Upstream-Systeme: Anfragezeilen erreichen den Node.js-Prozess, ohne upstream durch Edge-Proxys verworfen zu werden. Node.js akzeptiert standardmäßig Request-Header bis zu 16 KiB. Eine Guard-/Resolver-Verstärkung erfordert nur eine kurze URL.
- Eingeschränkte Heap-Größe: Die Heaps der Worker sind im Verhältnis zur Nutzlast der Anfragen und zur Parallelität klein genug dimensioniert (z. B. Container oder Serverless-Instanzen mit 128 MiB–1 GiB).
Beispiele für Exploit-Payloads
Gegen eine Konfiguration mit Routen mit leerem Pfad (path: "") und Abfrageparametern:
GET /shop/(a:/()//b:/()//c:/()//...)?param1=value¶m2=value... HTTP/1.1
Host: example.comGegen eine Konfiguration mit benannten Outlets oder Sibling-Routen:
GET /dashboard/(detail:1//x:/(detail:1//x:/(...)//y:/(...))//y:/(...)) HTTP/1.1
Host: example.comWas zu tun ist
Patches
Das Problem wurde in angular/angular#71055. behoben. Der Router erfordert nun, dass jede untergeordnete Outlet-Segmentgruppe mit einer für ihr Ziel-Outlet konfigurierten Route übereinstimmt, bevor untergeordnete Segmente aufgelöst werden oder ein Abgleich abgeschlossen wird, und verhindert, dass nicht konfigurierte Empty-Path-Outlet-Gruppen mit Routen abgeglichen werden, die für andere Outlets deklariert sind.
Korrigierte Versionen:
22.2.121.2.2520.3.33
Versionen vor v20 sind ebenfalls betroffen, werden jedoch nicht mehr unterstützt und erhalten keinen Patch.
Problemumgehungen & Minderungsmaßnahmen
Wenn ein sofortiges Upgrade auf eine gepatchte Version nicht möglich ist, wenden Sie eine oder mehrere der folgenden Maßnahmen an:
-
Ablehnen von URLs mit Klammern oder Empty-Path-Outlets in der Middleware oder WAF (empfohlen): In
@angular/routerverwenden zusätzliche Outlet-Gruppen in einer URL stets Klammern(...), und Empty-Path-Outlet-Gruppen in einer URL haben immer die Form:/(,(/oder///(.- Wenn Ihre Anwendung keine benannten (zusätzlichen) Outlets in URLs verwendet, lehnen Sie Anfragen ab, deren Pfad
(oder)enthält, bevor Angular SSR die Anfrage verarbeitet. - Wenn Ihre Anwendung benannte Outlets verwendet, lehnen Sie Anfragen ab, deren Pfad Sequenzen mit leeren Outlet-Pfaden enthält (
:/(,(/oder///().
Im Gegensatz zu reinen URL-Längenbeschränkungen blockiert dies sowohl die Heap-Erschöpfung als auch die Verstärkung von Guards/Resolvern über kurze URLs vollständig:
ts// server.ts (placed before Angular SSR handler) app.use((req, res, next) => { let pathname: string; try { pathname = decodeURI(req.url.split(/[?#]/, 1)[0]); } catch { res.status(400).send("Bad Request"); return; } // Option A: If the app does not use named outlets in URLs, block all parenthesized groups: if (/[()]/.test(pathname)) { res.status(400).send("Bad Request"); return; } // Option B: If the app uses named outlets, block only empty-path outlet groups: if (/:\/\(|\(\//\(|\/\/\/\(/.test(pathname)) { res.status(400).send("Bad Request"); return; } next(); }); - Wenn Ihre Anwendung keine benannten (zusätzlichen) Outlets in URLs verwendet, lehnen Sie Anfragen ab, deren Pfad
-
URL-Länge am Reverse-Proxy oder in der Middleware begrenzen: Konfigurieren Sie Ihren Edge-Proxy, Ihre Web Application Firewall (WAF) oder Ihren Reverse-Proxy so, dass Anfragen mit übermäßig langen URLs abgewiesen werden (z. B. über 2,048 Bytes). Da sich der Outlet-Teil der Nutzlast im Pfad befindet, begrenzen Sie das gesamte Anfrageziel und nicht nur den Query-String. Dies verringert die Guard-/Resolver-Verstärkung, beseitigt sie jedoch nicht vollständig, da hierfür lediglich eine kurze URL nötig ist.
-
Node.js Old Space erhöhen: Das Erhöhen von
--max-old-space-sizesteigert die Anfrageröße und Parallelität, die zum Erschöpfen des Speichers erforderlich sind, behebt das Problem jedoch nicht vollständig.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | @angular/router | >= 22.0.0, < 22.2.1, >= 21.0.0, < 21.2.25, >= 20.0.0, < 20.3.33, <= 19.2.25 | 22.2.1, 21.2.25, 20.3.33 |
Verweise
- https://github.com/angular/angular/security/advisories/GHSA-62vg-58rm-qff7
- https://github.com/angular/angular/issues/70997
- https://github.com/angular/angular/pull/71055
- https://github.com/angular/angular/commit/a83f8119acd466b524ae0113096ed188358d6d6c
- https://github.com/angular/angular/commit/b0d2ba0f54e21cb57ea5a0ca0d8e6065f28e23a0
- https://github.com/angular/angular/commit/b6bf6504adab1a78cc62ad8402f6bed229e620bd
- https://github.com/angular/angular/commit/e9bf52aa03a3b9b302c33ffbc967ef0e1de5fb79
- https://github.com/angular/angular
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-400, CWE-405- Plattform
- npm
- Paket
@angular/router- Veröffentlicht
- 20.10.2026
- Aktualisiert
- 20.10.2026 18:20
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-62vg-58rm-qff7 - CC BY 4.0
Schwachstellenhistorie: @angular/router
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 2
- Erste → letzte
- 09.2026 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 2
Veröffentlichungen pro Jahr
- 2026: 2
-
@angular/router: Denial of Service durch fehlerhaftes Routen-Matching von Empty-Path-Outlets beim Server-Side-Rendering (SSR) dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.