JVNDB-2026-008151

Node.js Foundationのundiciにおける高圧縮データの処理 (データ増幅)に関する脆弱性

undiciのWebSocketクライアントは、permessage-deflate圧縮解除時にメモリを無制限に消費するため、サービス拒否攻撃の脆弱性があります。WebSocket接続がpermessage-deflate拡張機能を交渉すると、クライアントは圧縮された受信フレームを展開しますが、展開後のデータサイズに制限を設けていません。悪意のあるWebSocketサーバーは、小さな圧縮フレーム（「圧縮爆弾」）を送信し、それがメモリ上で非常に大きなサイズに展開され、Node.jsプロセスのメモリを使い果たしてクラッシュや応答停止を引き起こす可能性があります。この脆弱性はPerMessageDeflate.decompress()メソッドに存在し、すべての展開チャンクをメモリに蓄積した後、安全な閾値を超えたかどうかの検査をせずに単一のBufferに連結しているため発生します。

Node.js Foundation

• undici 6.24.0 未満
• undici 7.0.0 以上 7.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded Memory Consumption in undici WebSocket permessage-deflate Decompression  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 高圧縮データの不適切な処理 (データ増幅)(CWE-409) [その他]

1. CVE-2026-1526

1. National Vulnerability Database (NVD) : CVE-2026-1526
2. 関連文書 : RFC 7692 - Compression Extensions for WebSocket

• [2026年03月23日]
    掲載