JVNDB-2026-021350

Deno Land Inc.のDenoにおける重要な情報の平文での送信に関する脆弱性

DenoはJavaScript、TypeScript、およびWebAssemblyの実行環境です。バージョン2.0.0から2.7.8の間、DenoのNode.js TLS互換レイヤーに欠陥があり、接続再試行後にTLSクライアントがアプリケーションデータを平文で送信してしまう可能性がありました。autoSelectFamilyが有効で最初のアドレスファミリーの試行に失敗した場合、ソケットの再初期化処理で元の失敗したハンドルにバインドされていた古いTLSアップグレードフックが再利用されていました。その結果、交換されたTCP接続はTLSにアップグレードされず、secureConnectイベントより前にアプリケーションが書き込んだデータが暗号化されずにネットワーク上を送信されてしまいました。初回の接続試行を意図的に失敗させることができるネットワーク攻撃者（例えばデュアルスタックホストでIPv6トラフィックをドロップするなど）は、このフォールバック経路を確実に誘発させ、アプリケーションがTLSで保護されていると信じていたトラフィックを観察または改ざん可能でした。この脆弱性はバージョン2.7.8で修正されました。

Deno Land Inc.

• Deno 2.0.0 以上 2.7.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : TLS retry copies stale upgrade hook, risking plaintext traffic  Advisory  denoland/deno  GitHub

1. 重要な情報の平文での送信(CWE-319) [その他]

1. CVE-2026-44726

1. National Vulnerability Database (NVD) : CVE-2026-44726

• [2026年06月29日]
    掲載