したがって、ALAS2023-2026-1920 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    undici が Set-Cookie ヘッダーを解析するとき、RFC 6265 で指定された大文字と小文字を区別しない完全一致ではなく、Strict、Lax、または None を部分文字列として含む任意の SameSite 属性値を受け入れます。非仕様値は、3 つの標準トークンのいずれかに暗黙的にマッピングされます。

    SameSite=NoneOfYourBusiness は、最も許容度の高い設定である None として解析されます。SameSite=StrictLax は、Strict からのダウングレードとなる Lax として解析されます。影響を受けるアプリケーションは、サーバー応答から Set-Cookie ヘッダーを取得し (例えば、undici の fetch またはプロキシコードパスを介して)、解析された sameSite 属性を転送する、またはその値に依存するアプリケーションです。悪意のあるサーバーまたは非準拠のサーバーは、Cookie の SameSite ポリシーに対するコンシューマー側の解釈をより弱い値に強制し、Cookie が提供するはずの SameSite 制御を暗黙的に低下させる可能性があります。

    これは、Cookie 機能が追加された際に undici 5.15.0 で導入されました。(CVE-2026-11525)

    SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にメモリ破損の脆弱性があり、攻撃者が無効な形式の FTS5 ページデータを含む細工されたデータベースを提供することで、プロセスクラッシュ、メモリ枯渇、または任意のコード実行を引き起こす可能性があります。攻撃者は、攻撃者が制御するループ境界を介して fts5LeafSeek() で領域外読み取りを引き起こし、また、整数アンダーフローを引き起こす細工された継続ページを介して fts5ChunkIterate() でヒープバッファオーバーフロー書き込みを発生させる可能性があります。これは、悪意のあるデータベースに対して FTS5 MATCH クエリが実行された場合に悪用可能です。(CVE-2026-11822)

    SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にヒープベースのバッファオーバーフローの脆弱性があり、攻撃者が 4 より小さい szLeaf 値を指定する悪意のある継続ページメタデータを含む細工されたデータベースを提供することで、クラッシュを引き起こしたり、任意のコードを実行したりする可能性があります。FTS5 MATCH クエリ処理中に fts5ChunkIterate() の整数アンダーフローによって残りのバイト数が増大し、SQLITE_ENABLE_FTS5 でコンパイルされたアプリケーションで、攻撃者が制御するデータのヒープバッファオーバーフローにつながります。(CVE-2026-11824)

    undici WebSocket クライアントは、メッセージのフラグメントの累積バイトカウントに maxPayloadSize を強制しますが、フラグメント数の制限は強制しません。悪意のある WebSocket サーバーが、フレームごとおよび累積サイズの検証に合格する多数の小さいまたは空の継続フレームをストリーミングし、クライアントプロセスで無制限のメモリ増加を引き起こす可能性があります。その結果、メモリ枯渇とサービス拒否が発生します。

    影響を受けるアプリケーションは、undici WebSocket クライアント (new WebSocket(...)) または WebSocketStream API を使用しており、攻撃者が制御する、または侵害された WebSocket エンドポイントに接続するよう誘導される可能性があります。

    undici 6.17.0 以降のすべてのリリースが影響を受けます。(CVE-2026-12151)

    Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。

    プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて漏洩され、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48615)

    Node.js 権限モデルの適用における欠陥により、「process.report.writeReport()」のパス検証の誤りを利用して権限モデルをバイパスできます。これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。**Node.js 22**、**Node.js 24**、**Node.js 26**。(CVE-2026-48617)

    Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。

    これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48618)

    Node.js HTTP/2 クライアントの欠陥により、サーバーが無制限の数の ORIGIN フレームを送信でき、クライアントでメモリ不足エラーが発生する可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48619)

    sigstore-js は、Sigstore サービスと相互作用するための JavaScript ライブラリを提供します。3.2.1 より前のバージョンでは、@sigstore/core の preAuthEncoding 関数が PAE 文字列をバイトに変換する際に Node.js の ASCII エンコーディングを使用しているため、署名を無効にしたり、DSSE が提供する型バインディング保証を破ったりすることなく、署名後に payloadType を変化させることができます。この問題はバージョン 3.2.1 で修正されています。
    (CVE-2026-48758)

    sigstore-js は、Sigstore サービスと相互作用するための JavaScript ライブラリを提供します。4.1.1 より前は、sigstore.verify() の文書化された certificateOIDs オプションはパブリック API で受け入れられますが、検証前に破棄されるため、必要な証明書拡張 OID がチェックされることはなく、どの証明書がアーティファクトに署名できるかを制限するために certificateOIDs に依存しているアプリケーションは、未承認の証明書を受け入れてしまう可能性があります。
    この問題はバージョン 4.1.1 で修正されています。(CVE-2026-48815)

    sigstore-js は、Sigstore サービスと相互作用するための JavaScript ライブラリを提供します。3.1.1 より前は、@sigstore/verify は、バンドル v0.2 の inclusionProof-only エントリについて、tlogEntries[].integratedTime から透明性ログタイムスタンプを導出しています。しかし、包含証明パスでは integratedTime が暗号的にバインドされていないため、信頼できないバンドルを供給できる攻撃者が、証明書の有効性や timestampThreshold の検証結果に影響を与える可能性があります。この問題はバージョン 3.1.1 で修正されています。(CVE-2026-48816)

    Node.js のホスト名照合の不整合により、マルチコンテキスト mTLS セットアップで信頼ポリシーのバイパスが発生する可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48928)

    Node.js の TLS ホスト名処理における欠陥により、リゾルバーバインディングでの C 文字列切り捨てが原因で、埋め込まれた NUL 文字を含むホスト名がサイレントな権限リバインディングを引き起こす可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48930)

    Node.js HTTP Agent の欠陥により、クライアントがリクエストを送信する前に送信された応答を有効なものとして受け入れる可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48931)

    Node.js WebCrypto 実装の欠陥により、subtle.encrypt() の入力が 2GiB の倍数である場合に、プロセスがクラッシュする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48933)

    Node.js TLS ホスト検証の欠陥により、攻撃者が証明書検証をバイパスする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48934)

    Node.js Permission API の欠陥により、例えば --allow-fs-read で読み取り専用として設定されたパスであっても、ファイルメタデータが変更される可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48935)

    Node.js HTTP/2 サーバー API の欠陥により、「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける可能性があります。この脆弱性は、2 つのサポート対象リリースラインである **Node.js 22** および **Node.js 24** に影響を与えます。
    (CVE-2026-48937)

    Undici の HTTP/1.1 クライアントは、再利用されたキープアライブソケットにおける応答キューポイズニングに対して脆弱です。攻撃者が制御するアップストリームサーバーが、リクエストの完了後に、アイドル状態のソケットへ要求されていない HTTP/1.1 応答を注入する可能性があります。クライアントがそのソケット上で次のリクエストをディスパッチすると、注入された応答が新しいリクエストに関連付けられ、応答が誤ったリクエストに配信されます。

    これには、攻撃者が制御する、または侵害されたアップストリーム HTTP/1.1 サーバーと、キープアライブ接続の再利用が必要です。(CVE-2026-6733)

    Socks5ProxyAgent を使用する場合、undici は、プールのオリジンがリクエストされたオリジンと一致することを検証せずに、異なるオリジン間で単一の接続プールを再利用します。すべてのリクエストは、意図された宛先に関係なく、最初のオリジンに接続されたプールを介してディスパッチされます。

    これにより、クロスオリジンリクエストルーティングが発生します。オリジン B を対象とする認証情報とリクエストデータがオリジン A に送信され、誤ったオリジンからの応答が信頼され、HTTPS リクエストが暗黙的に HTTP にダウングレードされる可能性があります。

    影響を受けるユーザーは、Socks5ProxyAgent (直接または setGlobalDispatcher 経由) を使用し、複数のオリジンにリクエストを送信するアプリケーションです。

    これは、undici 7.23.0 で #4385 を通じて導入され、8.1.0 までのすべてのバージョンに影響します。(CVE-2026-6734)

    Upstream の Cache-Control ヘッダーが、private= authorization や no-cache=\tauthorization などの空白でパディングされた修飾付き private または no-cache フィールド名を使用している場合、Undici のキャッシュインターセプターは一部の応答をキャッシュ可能として誤って分類します。パーサーは周囲の空白を保持するため、後続のリテラルの authorization フィールド名との比較が失敗し、応答が保存されます。

    共有キャッシュモードでは、両方のリクエストが同じキャッシュキーに解決される場合、1 人のユーザーの認証済みデータを含む応答が、認証されていない呼び出し元を含む後続の呼び出し元にキャッシュから提供される可能性があります。

    影響を受けるアプリケーションは、共有モードでキャッシュインターセプター (interceptors.cache()) を明示的に有効化し、Authorization ヘッダーをアップストリームに転送し、非標準の修飾付き private または no-cache ディレクティブを含むキャッシュ可能な応答を受信するアプリケーションです。(CVE-2026-9678)

    parseSetCookie 内の undici の Cookie パーサーは、qsUnescape を介して Cookie 値をパーセントデコードし、%0D%0A、%00、%3B、%3D などのエンコードされたシーケンスを対応するリテラルバイトに変換します。RFC 6265 SS5.4 ではデコードは指定されておらず、ブラウザでもデコードされません。

    Set-Cookie ヘッダーを解析し、解析された値を応答ヘッダーに転送するアプリケーション (プロキシ、ミドルウェア、SSR フレームワーク) は、HTTP 応答ヘッダーインジェクションに対して脆弱になります。攻撃者が制御するアップストリームは、任意の Set-Cookie、Location、または Cache-Control ヘッダーをアプリケーションのダウンストリーム応答に注入し、セッション固定、オープンリダイレクト、またはキャッシュポイズニングを可能にします。

    影響を受けるアプリケーションは、undici の Cookie 解析 (parseSetCookie、parseCookie、getSetCookies) を使用し、解析された Cookie 値を応答ヘッダーに転送するアプリケーションです。

    これは、undici 7.0.0 で導入されました (CVE-2026-9679)

    SOCKS5 プロキシ URI (socks5:// または socks://) で構成されている場合、undici の ProxyAgent は requestTls オプションを警告なしに破棄します。SOCKS5 トンネルを介したターゲット HTTPS 接続は、Node のデフォルトトラストストアにフォールバックし、ユーザーが設定した ca、cert、key、rejectUnauthorized、および servername の設定を無視します。

    requestTls.ca を介して内部または企業 CA にピン留めしているアプリケーションは、プロキシ URI が SOCKS5 の場合、代わりにデフォルトの Mozilla CA バンドルをトラストアンカーとして使用します。ターゲットホスト名について、公的に信頼された CA によって署名された任意の証明書が受け入れられ、意図されたピンが破られ、HTTPS 通信の MITM による読み取りと改ざんが可能になります。

    影響を受けるアプリケーションは、undici の ProxyAgent (または Socks5ProxyAgent を直接) を SOCKS5 と共に使用し、TLS の範囲制限を requestTls に依存しているアプリケーションです。このバグは、SOCKS5 サポートが追加されたときに undici 7.23.0 に導入されました。(CVE-2026-9697)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1920)

high Nessus プラグイン ID 327374

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Jul 25, 2026, 1:06 PM CVE (set "CVE" coverage to "CVE-2026-6733,CVE-2026-6734,CVE-2026-9678,CVE-2026-9679,CVE-2026-9697,CVE-2026-11525,CVE-2026-11822,CVE-2026-11824,CVE-2026-12151,CVE-2026-48615,CVE-2026-48617,CVE-2026-48618,CVE-2026-48619,CVE-2026-48928,CVE-2026-48930,CVE-2026-48931,CVE-2026-48933,CVE-2026-48934,CVE-2026-48935,CVE-2026-48937") Plugin metadata Plugin Feed: 202607251306
バージョン 1.2 Jul 21, 2026, 8:31 PM CVE (set "CVE" coverage to "CVE-2026-6733,CVE-2026-6734,CVE-2026-9678,CVE-2026-9679,CVE-2026-9697,CVE-2026-11525,CVE-2026-11822,CVE-2026-11824,CVE-2026-12151,CVE-2026-48615,CVE-2026-48617,CVE-2026-48618,CVE-2026-48619,CVE-2026-48758,CVE-2026-48815,CVE-2026-48816,CVE-2026-48928,CVE-2026-48930,CVE-2026-48931,CVE-2026-48933,CVE-2026-48934,CVE-2026-48935,CVE-2026-48937") Plugin metadata Plugin Feed: 202607212031
バージョン 1.1 Jul 16, 2026, 9:04 PM New Plugin Feed: 202607162104