JVNDB-2026-033771

Node.js Foundationのundiciにおける証明書検証に関する脆弱性

undiciのBalancedPoolコンストラクタは、オプションオブジェクト全体を内部でディープクローン処理に渡し、その値をJSONとしてシリアライズおよび再解析します。JSONは関数を表現できないため、callerが提供するcheckServerIdentityコールバックやconnectオプション内のカスタムコネクタなど、関数を値とするTLSオプションはTLSレイヤーに到達する前にサイレントに破棄されます。その結果、アプリケーションのカスタムcheckServerIdentityで拒否されるように作成されたピアの証明書であっても、Nodeのデフォルトのホスト名およびチェーンチェックを通過する場合には、BalancedPoolを介してアクセスされると受け入れられてしまいます。Client、Pool、およびAgentのディスパッチャは、connectおよびtlsオプションをクローン前に抽出するため、影響を受けません。この問題は、バージョン7.24.1から7.29.1および8.0.0から8.10.2までのundiciで発生し、アプリケーションがBalancedPoolに関数を値とするconnectまたはtlsオプションを提供した場合にのみ影響します。ユーザーはundici 7.29.1または8.10.2へのアップグレードを推奨します。

Node.js Foundation

• undici 7.24.1 以上 7.29.1 未満
• undici 8.0.0 以上 8.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to TLS certificate validation bypass via dropped connect options in BalancedPool  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-84961

1. National Vulnerability Database (NVD) : CVE-2026-84961

• [2026年09月16日]
    掲載