JVNDB-2026-034125

Node.js Foundationのundiciにおける有効なライフタイム後のリソースの解放の欠如に関する脆弱性

undiciのリトライハンドラには、すでに公開されたレスポンスボディを永遠に保留状態のままにしてしまう可能性があります。サーバがContent-Lengthを宣言し、ボディの一部のみを送信して接続を閉じた成功レスポンスを返すと、リトライハンドラはリクエストを再試行します。リトライ結果が400のようなリトライ不可能なステータスだった場合、ハンドラはその新しいレスポンスを下流に転送し内部のレスポンスストリームを置き換えますが、アプリケーションがまだ保持している元のレスポンスボディは終了も破棄もされません。その結果、そのボディを読み取る呼び出しは決して完了せず、ボディのタイムアウトはオーファンになったボディではなく接続パーサに結びついているため発火しません。攻撃者が制御するサーバは、接続を開いたままにせずに2つの短いレスポンスでこの問題を引き起こすことができ、繰り返されるリクエストにより保留中のプロミスやストリームが蓄積され、アプリケーションの同時実行性やメモリが枯渇する可能性があります。これはundiciの7.11.0から7.29.1、および8.0.0から8.10.2のバージョンに影響します。利用者はundiciを7.29.1または8.10.2にアップグレードするべきです。

Node.js Foundation

• undici 7.11.0 以上 7.29.1 未満
• undici 8.0.0 以上 8.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to Denial of Service via orphaned RetryHandler response body  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 有効なライフタイム後のリソースの解放の欠如(CWE-772) [その他]

1. CVE-2026-18149

1. National Vulnerability Database (NVD) : CVE-2026-18149

• [2026年09月17日]
    掲載