CVE-2026-85014 in undici
要約
〜によって VulDB • 2026年09月04日
undiciの実験的なWebSocketStreamクライアントは、リモートピアがWebSocketクローズハンドシェイクなしでTCP接続を閉じた場合にNode.jsプロセス全体をクラッシュさせます。クリーンでないクローズ時、内部ソケットクローズハンドラは書き込みストリームに対して無条件にabortを呼び出し、返されたpromiseを破棄します。しかしWHATWG Streams標準では、ロックされた書き込みストリームのabortはTypeErrorでrejectされるpromiseを返す必要があります。アプリケーションはその書き込みストリーム上にwriterを持っており（これが唯一の書き込み方法であるため）、そのrejectが観察されず、Node.jsのデフォルトの未処理リジェクト動作によりプロセスが終了します。したがって、信頼できないサーバーは単一の突然の切断によって認証不要かつアプリケーション側のミスなしでクライアントをクラッシュさせることができます。これにはundici 7.0.0から7.29.1までおよび8.0.0から8.10.2までのバージョンが影響を受けます。ユーザーはundici 7.29.1または8.10.2にアップグレードする必要があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.