JVNDB-2026-034244

Node.js Foundationのundiciにおけるキャッチされない例外に関する脆弱性

undiciはWebSocketクライアントをバンドルしており、そのpermessage-deflateのサイズ制限のクリーンアップ処理は、内部のzlibのinflateストリームからすべてのリスナー（エラーリスナーを含む）を削除します。しかし、そのストリームはまだイベントを発生させる可能性があります。リモートピアが圧縮ペイロードを送信し、そのペイロードが組み込みの128MiBの展開後ペイロード制限を超え、さらに不正なDEFLATEバイトを含む場合、inflateストリームはリスナーが存在しないままデータエラーを発生させます。Node.jsはこれを致命的な未処理エラーとして扱い、プロセス全体を終了させます。攻撃はリモートかつ認証不要であり、アプリケーションのミスも必要とせず、非対称的です。ワイヤ上で約130KBのデータが制限を超えて展開されてプロセスをクラッシュさせ、再接続によってクラッシュが繰り返される可能性があります。この脆弱性はundiciのバージョン6.25.0から6.28.1まで、7.28.0から7.29.1まで、8.1.0から8.10.2までに影響します。ユーザーはundiciを6.28.1、7.29.1、または8.10.2にアップグレードすべきです。

Node.js Foundation

• undici 6.25.0 以上 6.28.1 未満
• undici 7.28.0 以上 7.29.1 未満
• undici 8.1.0 以上 8.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to Denial of Service via unhandled error in WebSocket permessage-deflate decompression  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-85024

1. National Vulnerability Database (NVD) : CVE-2026-85024

• [2026年09月17日]
    掲載