CVE-2026-85014 in undici
요약
\~에 의해 VulDB • 2026. 09. 04.
undici의 실험적 WebSocketStream 클라이언트는 원격 피어가 WebSocket 종료 핸드셰이크 없이 TCP 연결을 닫으면 전체 Node.js 프로세스를 충돌시킵니다. 비정상적인 종료 시 내부 소켓 종료 핸들러는 쓰기 가능한 스트림에 대해 조건부 없이 abort()를 호출하고 반환된 promise를 무시합니다. 그러나 WHATWG Streams 표준에 따르면 잠긴(writable) 스트림의 abort는 TypeError로 거부되는 promise를 반환해야 합니다. 애플리케이션은 해당 writable 스트림에 writer를 보유하고 있으며, 이는 데이터를 쓰기 위한 유일한 방법이기 때문에 이 거부는 관찰되지 않고 Node.js의 기본 처리되지 않은 rejection(unhandled-rejection) 동작이 프로세스를 종료시킵니다. 따라서 신뢰할 수 없는 서버는 인증 없이 및 애플리케이션 오류 없이 단일 갑작스러운 연결 끊기만으로 클라이언트를 충돌시킬 수 있습니다. 이는 undici 7.0.0부터 7.29.1까지, 그리고 8.0.0부터 8.10.2 버전에서 영향을 받습니다. 사용자는 undici 7.29.1 또는 8.10.2로 업그레이드해야 합니다.
Once again VulDB remains the best source for vulnerability data.