JVNDB-2026-039010

Node.js Foundationのundiciにおける証明書検証に関する脆弱性

undiciはNode.js用のHTTPクライアントライブラリです。バージョン4.0.0から6.29.0、7.0.0から7.30.0、および8.0.0から8.12.1において、そのAgentディスパッチャはコンストラクタオプションをJSONベースのディープクローンを通じて各オリジンプールに渡します。しかしJSONは関数を表現できないため、checkServerIdentityコールバックを含む呼び出し元が提供するtlsオプションがTLSレイヤーに届く前に静かに破棄されてしまいます。その結果、カスタムのcheckServerIdentityによって拒否されるはずのTLSピア証明書が、Node.jsのデフォルトのホスト名およびチェーンチェックを通過した場合に静かに受け入れられてしまいます。Agentはrequest、fetch、setGlobalDispatcherの背後にあるデフォルトのディスパッチャであるため、この問題はほとんどのアプリケーションの経路に影響を与え、EnvHttpProxyAgentの直接経路およびノープロキシ経路にも影響を及ぼします。ただし、証明書や公開鍵ピニングのためのカスタムcheckServerIdentityなど関数型のtlsオプションを渡すアプリケーションのみがリスクにさらされます。この問題は、tlsオプションをJSONクローンの外で保持し、カスタム検証コールバックを変更せずに転送するよう修正されたundiciのバージョン6.29.1、7.30.1、および8.12.2で解決されており、ユーザーにはこれらのバージョン以降へのアップグレードを推奨します。回避策としては、tlsオプションをtls経由ではなくconnect経由で渡すか、プロキシ経由の宛先の場合はrequestTlsおよびproxyTlsを使用してください。

Node.js Foundation

• undici 4.0.0 以上 6.29.1 未満
• undici 7.0.0 以上 7.30.1 未満
• undici 8.0.0 以上 8.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-109383

1. National Vulnerability Database (NVD) : CVE-2026-109383

• [2026年10月20日]
    掲載