JVN iPediaは2026年10月20日、Node.js向けのHTTPクライアントライブラリ「undici」の証明書検証に関する脆弱性情報を掲載しました。関連する情報を含め、証明書検証回避、キャッシュ汚染・ユーザー間の情報漏えい、整合性検証回避、サービス拒否の計4件に修正版があります。情シスは開発担当や委託先と、利用版に加えて通信処理の設定を確認する必要があります。
緊急2件は証明書検証と共有キャッシュの設定が焦点
証明書検証回避の「CVE-2026-109383」は、関数型のtlsオプションを渡すアプリにリスクが限られます。標準の証明書検証を通った証明書が、独自の検証では拒否されるはずでも受け入れられる恐れがあります。
影響するのはundici 4.0.0～6.29.0、7.0.0～7.30.0、8.0.0～8.12.1です。修正版は6.29.1、7.30.1、8.12.2です。JVNは回避策として、tlsオプションをconnect経由で渡す方法を案内しています。
キャッシュ汚染・ユーザー間の情報漏えいにつながる「CVE-2026-109829」は、接続先を固定しないオリジンレスAgentと共有キャッシュを使い、リダイレクト処理、キャッシュ処理の順に構成した場合に影響します。攻撃者が操るリダイレクト先の応答が、信頼されたURLのキャッシュを汚染する恐れがあります。ユーザー固有のデータが、認証していない呼び出し元に漏れる可能性もあります。
対象は7.0.0～7.30.0、8.0.0～8.12.1で、7.30.1、8.12.2で修正済みです。回避策は、キャッシュ処理をリダイレクト処理より前に置く構成です。以上の2件は、深刻度を示すCVSS v3基本値がNVD評価で9.1(緊急)です。
整合性検証と実験的WebSocketにも修正
取得したデータが想定どおりかを確かめるSRIの検証回避「CVE-2026-109841」は、7.15.0～7.30.0、8.0.0～8.12.1が対象です。SRIトークンに大文字や大小混在の表記があると、fetch()の整合性検証を回避される恐れがあります。7.30.1、8.12.2で修正済みで、回避策はSRIのアルゴリズムトークンを小文字で指定することです。CVSS v3基本値はNVD評価で7.5(重要)です。
サービス拒否の「CVE-2026-109855」は、8.11.0、8.11.1の実験的WebSocketクライアントが対象です。HTTP/2によるWebSocket接続の失敗後、悪意あるサーバーがプロセスを終了させる恐れがあります。8.11.2で修正済みで、allowH2をfalseにしてHTTP/2を無効にする回避策も案内されています。CVSS v3基本値は7.5(重要)です。
8.11.2はWebSocketの問題の修正版ですが、ほかの3件では影響範囲に含まれます。更新先は、1件だけでなく4件を照合して決める必要があります。
影響する会社・しない会社
- 影響する: 対象版のundiciで、関数型のtlsオプションを使った独自の証明書検証を行う会社です。キャッシュを使っていなくても、この問題の確認は必要です。
- 影響する: 対象版でオリジンレスAgentと共有キャッシュを使い、リダイレクト処理を先に置く会社です。大文字などのSRIトークンを使う環境や、8.11.0、8.11.1の実験的WebSocketクライアントを使う環境も、それぞれ確認対象です。
- 影響しない: undiciを利用していない会社は、今回の4件の対象ではありません。
- 影響しない: undici 7.30.1、8.12.2は、今回の4件について修正済み、または記載された影響範囲外です。ただし、別の版が残っていないかは確認が必要です。
情シスが今日やること
以下は社内対応の進め方の提案です。対応期限は社内で設定してください。
- 今日、Node.jsを使う業務システムの開発担当と委託先に、undiciの利用有無と稼働環境の版番号の確認を依頼します。依存関係を管理するファイルと実際の配備内容を照合してもらい、システム別に回答を集めます。
- 利用が見つかったシステムは、コードや通信設定のうち、tls・connect、Agentと共有キャッシュの処理順、SRIトークン、WebSocketのallowH2を確認してもらいます。「対象版だが条件未確認」と「条件にも該当」を分けて記録します。
- 開発担当と更新先を決め、業務責任者へ影響する機能、検証予定、更新予定日を知らせます。特に共有キャッシュの条件に該当する場合は、ユーザー間の情報漏えいの恐れがあることも伝えます。
- すぐ更新できない場合は、該当する回避策を開発担当と検討します。設定変更後は証明書検証、リダイレクトとキャッシュ、データ取得、WebSocketのうち利用する処理を検証し、適用結果と更新予定を管理台帳に残します。
