JVNDB-2026-033769

Node.js Foundationのundiciにおける複数の脆弱性

undiciの実験的なWebSocketStreamクライアントは、リモートピアがWebSocketのクローズハンドシェイクなしにTCP接続を閉じた場合、Node.jsプロセス全体がクラッシュします。非クリーンクローズ時に内部のソケットクローズハンドラは書き込み可能ストリームのabortを無条件に呼び出し、返されたPromiseを破棄しますが、WHATWG Streams標準によれば、ロックされた書き込み可能ストリームのabortはTypeErrorで拒否されるPromiseを返します。アプリケーションは唯一の書き込み方法であるその書き込み用ライターを保持しているため、その拒否は観測されず、Nodeのデフォルトの未処理拒否動作によってプロセスが終了します。したがって、信頼できないサーバは認証もアプリケーションの誤りもなく、単一の突然の切断でクライアントをクラッシュさせることが可能です。本脆弱性はundiciのバージョン7.0.0から7.29.1および8.0.0から8.10.2に影響します。ユーザーはundiciを7.29.1または8.10.2へアップグレードする必要があります。

Node.js Foundation

• undici 7.0.0 以上 7.29.1 未満
• undici 8.0.0 以上 8.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to Denial of Service via WebSocketStream unclean close  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. キャッチされない例外(CWE-248) [その他]
2. 例外的な状態における不適切なチェック(CWE-754) [その他]

1. CVE-2026-85014

1. National Vulnerability Database (NVD) : CVE-2026-85014

• [2026年09月16日]
    掲載