📋 漏洞概述

Node.js的TLS主机名验证中存在空字节截断漏洞，可被用于静默的权威重绑定攻击，导致绕过安全限制。

📋 基础信息

🔬 漏洞根因

Node.js在TLS主机名校验时，将包含嵌入空字节（'\0'）的主机名传递给底层C库解析器绑定。C语言的字符串处理函数遇空字节即截断，导致后续只有空字节之前的部分被用于DNS查询或证书验证，而完整的恶意主机名（如'attacker.com\0.trusted.com'）在TLS握手后被解析为'trusted.com'的证书，但实际上连接目标是'attacker.com'，从而绕过主机名验证实现权威重绑定。

🎯 攻击场景

1. 攻击者注册一个包含空字节的域名（如 'evil\0.example.com'）并配置其证书。 2. 攻击者诱导Node.js客户端连接该域名，或通过中间人篡改DNS响应指向攻击者控制的IP。 3. 客户端TLS握手时，Node.js将包含空字节的主机名传递给验证函数。 4. 底层C函数截断主机名，仅使用空字节前的部分（'evil'）进行证书匹配，而合法的证书往往匹配截断后的短名称（或可被攻击者自行签发匹配'evil'的证书）。 5. 连接建立成功，攻击者实现HTTPS劫持或中间人攻击，窃取或篡改加密通信数据。

💥 漏洞影响

攻击者可绕过Node.js TLS主机名验证，实现对加密连接的中间人攻击（MITM），窃取、篡改敏感数据或降级通信安全。影响所有使用Node.js进行TLS通信的服务端与客户端应用，包括Web服务器、API服务、数据库驱动等。CVSS 9.8表明可远程无认证利用且机密性、完整性和可用性均受严重影响。

🛡️ 修复建议

1. 升级Node.js至修复版本（官方尚未发布最终修复版本时，建议关注Node.js安全公告并应用补丁）。 2. 临时缓解措施：在应用层对用户提供的主机名进行严格过滤，剔除或转义空字节（'\0'），并仅允许通过白名单验证的受信任域名发起TLS连接。 3. 使用额外的证书固定（Certificate Pinning）机制减少中间人攻击面。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-48930
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-48930
• 原始来源（NVD-Latest）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-06-28 08:08 | 来源: NVD-Latest