JVNDB-2026-020897

Node.js Foundationのundiciにおける複数の脆弱性

影響: undici WebSocketクライアントはフレームごとのmaxPayloadSizeを強制していますが、フラグメント化された非圧縮メッセージの累積サイズを強制していません。悪意のあるWebSocketサーバーは、多数の小さなフラグメントをストリーム送信し、それぞれはフレームごとの検証を通過しますが、合計すると設定された制限を超え、クライアントプロセスでメモリが無制限に増加する原因となります。その結果、メモリ不足とサービス拒否が発生します。影響を受けるアプリケーションは、undici WebSocketクライアント（new WebSocket(...)）を使用し、攻撃者が制御するか侵害されたWebSocketエンドポイントに接続させられる可能性のあるものです。これはundici 8.1.0に特有のリグレッションです。6.25.0系では初めから同等の累積チェックが導入されており影響を受けません。7.x系はmaxPayloadSize機能自体が存在しないため影響を受けません。対策: undiciを8.5.0以上にアップグレードしてください。回避策: 回避策はありません。修正はアップグレードによってのみ適用可能です。

Node.js Foundation

• undici 8.0.0 以上 8.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici WebSocket client vulnerable to denial of service via cumulative fragment bypass  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-9675

1. National Vulnerability Database (NVD) : CVE-2026-9675

• [2026年06月26日]
    掲載