JVNDB-2026-039007

Node.js Foundationのundiciにおける複数の脆弱性

undiciはNode.js用のHTTPクライアントライブラリです。バージョン8.11.0および8.11.1では、実験的なWebSocketクライアントがHTTP/2を許可されている場合にデフォルトで有効になっており、HTTP/2上でのWebSocketハンドシェイクの失敗を適切に処理できません。具体的には、リクエストがすでに完了済みとマークされているため、中止処理が無効化され、基盤となるHTTP/2ストリームがエラーリスナーなしで開いたまま残ります。その後、悪意のあるサーバが接続を破壊すると、孤立したストリームが未処理のエラーを発生させ、Node.jsプロセスが終了してしまいます。したがって、リモートの認証されていないサーバはHTTP/2経由でWebSocketを開く任意のクライアントをクラッシュさせることができ、サービス拒否を引き起こします。この問題はundici 8.11.2で修正されているため、ユーザは8.11.2以降へのアップグレードを推奨します。回避策としては、allowH2をfalseに設定してWebSocket接続のHTTP/2を無効化するか、信頼できないサーバへのWebSocket接続を避けてください。

Node.js Foundation

• undici 8.11.0 以上 8.11.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. キャッチされない例外(CWE-248) [その他]
2. 例外的な状態における不適切なチェック(CWE-754) [その他]

1. CVE-2026-109855

1. National Vulnerability Database (NVD) : CVE-2026-109855

• [2026年10月20日]
    掲載