undiciに検証回避とサービス停止の欠陥、利用版と通信処理を確認

undiciのサービス停止につながる脆弱性2件が、2026年10月23日にGitHub Advisory Databaseへ掲載されました。別の勧告では、fetch()で応答の整合性検証を回避できる欠陥も示されています。欠陥ごとに対象の版と発生条件が異なるため、利用版に加えて、EventSourceや整合性検証を使う処理の確認が必要です。

停止の欠陥2件は、対象となる開始版が異なる

CVE-2026-109869は、過剰なcontent-encodingによって処理されないエラーが起き、サービス拒否に陥る欠陥です。深刻度は「High」です。対象は6.23.0以上6.29.1未満、7.18.0以上7.30.1未満、8.0.0以上8.12.2未満です。

もう1件のCVE-2026-109924は、サーバーから継続的にデータを受け取るSSE接続の処理に関係します。悪意ある接続先が応答を制御すると、undiciのEventSourceがメモリ不足に陥る恐れがあります。深刻度は「Moderate」です。

アプリ側はEventSourceの接続を維持しているだけで影響を受けます。受信バイト数を制限しても、データを解析する処理が保持する状態を抑えられず、圧縮応答の展開でプロセスが停止する可能性があります。勧告は影響をサービスの稼働継続に限定し、回避策はないとしています。

こちらの対象は6.5.0以上6.29.1未満、7.0.0以上7.30.1未満、8.0.0以上8.12.2未満です。停止の欠陥2件はいずれも6.29.1、7.30.1、8.12.2で修正されています。片方の対象外でも、もう片方に該当する場合がある点に注意が必要です。

fetch()の整合性検証にも欠陥、小文字指定が回避策

CVE-2026-109841は、取得した応答が期待した内容と一致するかを確かめるSRI検証の回避です。undiciのfetch()で、SRIアルゴリズム名が大文字や大小混在だと認識されず、検証が省略される場合があります。

攻撃者は応答本文を制御するだけでよく、アプリ側の整合性メタデータを変更する必要はありません。勧告は影響を応答の整合性に限定しています。サービス停止の2件とは、確認すべき処理も影響も異なります。

この欠陥は7.15.0で混入し、7.14.0以前は影響を受けません。修正版は7.30.1、8.12.2です。回避策として、アルゴリズム名にsha256、sha384、sha512の小文字表記を使う方法が案内されています。

日本での提供は発表には書かれていません。

影響する会社・しない会社

• 影響する: 停止の欠陥の対象版を使う会社です。特にEventSourceでSSE接続を維持するアプリは、接続先が返す応答によって停止する条件を確認する必要があります。
• 影響する: fetch()のSRI検証を使い、アルゴリズム名に大文字や大小混在の表記がある会社です。利用版と表記の両方が確認対象です。
• 影響しない: 6.29.1、7.30.1、8.12.2では、停止の欠陥2件は修正されています。7.30.1、8.12.2ではSRI検証の欠陥も修正されています。
• 影響しない: SRI検証の欠陥については、7.14.0以前は対象外です。ただし、これは停止の欠陥2件も対象外であることを意味しません。

情シスが今日やること

1. 今日中に開発担当と委託先へ3件の識別番号を伝え、運用中のアプリで使うundiciの版を確認してもらいます。回答はアプリ名、利用版、担当者でそろえ、欠陥ごとの対象範囲と照合してください。
2. EventSourceを使うアプリは、開発担当にSSE接続先と接続を維持する処理の確認を依頼します。受信量の制限だけを理由に対応不要とせず、CVE-2026-109924には回避策がないことを運用担当にも共有してください。
3. fetch()でSRI検証を使う箇所は、アルゴリズム名の指定を確認します。更新までの対応として、小文字のsha256、sha384、sha512になっているかを開発担当に点検してもらいます。この回避策は停止の欠陥への対策ではありません。
4. 対象版が見つかったアプリは、修正版への更新予定日と検証担当を決めます。今日中に確認結果と未確認のアプリを一覧にし、サービス責任者へ報告してください。勧告に更新期限の記載はないため、稼働への影響を踏まえて社内で期限を設定します。