Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici は、Node.js 用の HTTP クライアントライブラリです。6.23.0 から 6.29.0、7.18.0 から 7.30.0、8.0.0 から 8.12.1 までのバージョンにおいて、その fetch() 実装により、悪意のあるサーバーが 5 つ以上のコンテンツコーディングを含む応答を返し、本文を送信する前に接続を閉じると、その fetch() 実装によって Node.js プロセスがクラッシュします。
    Undici は、コンテンツエンコーディングの制限によりこうした応答を拒否しますが、そのチェックの前に内部応答ストリームを作成し、エラーリスナーを添付したりリクエストを中止したりせずに返します。そのため、早期クローズにより、孤立したストリームでコンテンツ長の不一致が表面化します。これは、Node.js処理されないエラーとして扱われ、プロセスを終了します。認証されていないリモートのサーバーが、アプリケーションが fetch() の拒否を適切にキャッチした場合でも、単一の応答でこれをトリガーし、サービス拒否を引き起こす可能性があります。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109869)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-109869

high Nessus プラグイン ID 366365

バージョン 1.15