したがって、ALAS2023-2026-3328 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Node.js HTTP Agent 処理での脆弱性により、対応するリクエストが送信される前に書き込まれた応答をキープアライブソケットが処理する可能性があります。これにより、不適切な応答の関連付けが発生し、HTTP 応答の混乱や意図しないデータの漏洩につながる可能性があります。(CVE-2026-105481)

    Node.js の脆弱性により、「dns.resolve」関数が null バイトを含むドメイン名を不適切に処理し、ドメイン名の切り捨てやホスト名の検証の一貫性がない可能性があります。これにより、ホスト名の検証に依存するアプリケーションで、意図しないドメイン名を処理できる可能性があります。この問題は、Node.js 22.x、 24.x、 26.x リリースラインに影響を与えます。脆弱性に対処するには、パッチが適用されたバージョンにアップグレードしてください。
    (CVE-2026-105482)

    Node.js TLS 証明書のホスト名検証での脆弱性により、IP アドレスに緩やかに解決されるホスト名が、ホスト名の検証をバイパスする可能性があります。これにより、攻撃者が信頼できるエンドポイントになりすまし、中間者攻撃を促進する可能性があります。(CVE-2026-106069)

    Node.js TLS 証明書検証での脆弱性により、非標準的な IPv4 ホスト名が、証明書内の Subject Alternative Name(SAN)エントリに対して不適切に一致DNS可能性があります。これにより、DNS名に対して発行された証明書がIPエンドポイントを認証し、意図されたホスト名の検証をバイパスする可能性があります。(CVE-2026-106072)

    Node.js の脆弱性により、「crypto.randomUUID()」および「crypto.randomInt()」により使用されるエントロピーキャッシュが、ユーザーランド起動スナップショットおよび単一実行可能アプリケーション(SEA)に保存されます。その結果、同じスナップショットから初期化された複数のプロセスによって繰り返し値が生成され、ランダム性が弱まり、一意または予測不能な値に依存するセキュリティメカニズムが危険にさらされる可能性があります。(CVE-2026-106073)

    Node.js 権限モデルの脆弱性により、ファイルシステムのアクセス制限が「fs.realpathSync()」を通じてバイパスされる可能性があります。これにより、設定された権限ポリシーによって制限されているファイルシステムパスにアプリケーションがアクセスできるようになります。(CVE-2026-106074)

    undici は、Node.js 用のHTTPクライアントライブラリです。4.0.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、エージェントディスパッチャーは、コンストラクターオプションをオリジンごとの各プールに転送する前に、JSONベースのディープクローンを通じてそれらを渡します。そして、JSONは関数を表現できないため、checkServerIdentityコールバックを含む呼び出し元指定のtlsオプションは、TLSレイヤーに到達する前に警告なしでドロップされます。その結果、証明書がカスタムcheckServerIdentityによって拒否されるように書き込まれたものの、Nodeのデフォルトのホスト名とチェーンチェックに合格するTLSピアは、密かに受け入れられます。Agent は、request、fetch、および setGlobalDispatcher の背後にあるデフォルトのディスパッチャーであるため、これは多くのアプリケーションが使用するパスに影響を与え、EnvHttpProxyAgent はそのダイレクトおよび非プロキシルートでも影響を受けますが、証明書または公開鍵ピンニング用のカスタム checkServerIdentity などの関数値の tls オプションを渡すアプリケーションのみがリスクにさらされます。undici 6.29.1、 7.30.1、および 8.12.2 でこの問題は修正されています。これらは JSON クローンの外部に tls オプションを保持しているため、カスタム検証コールバックは変更されずに転送されるため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS オプションを tls の代わりに接続から渡すか、プロキシされた宛先に requestTls と proxyTls を使用します。(CVE-2026-109383)

    undici は、Node.js 用のHTTPクライアントライブラリです。6.23.0 から 6.29.0、7.18.0 から 7.30.0、8.0.0 から 8.12.1 までのバージョンにおいて、その fetch() 実装により、悪意のあるサーバーが 5 つ以上のコンテンツコーディングを含む応答を返し、本文を送信する前に接続を閉じると、その fetch() 実装によって Node.js プロセスがクラッシュします。
    Undici は、コンテンツエンコーディングの制限によりこうした応答を拒否しますが、そのチェックの前に内部応答ストリームを作成し、エラーリスナーを添付したりリクエストを中止したりせずに返します。そのため、早期クローズにより、孤立したストリームでコンテンツ長の不一致が表面化します。これは、Node.js処理されないエラーとして扱われ、プロセスを終了します。認証されていないリモートのサーバーが、アプリケーションが fetch() の拒否を適切にキャッチした場合でも、単一の応答でこれをトリガーし、サービス拒否を引き起こす可能性があります。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109869)

    undici は、Node.js 用のHTTPクライアントライブラリです。6.5.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、悪意のある、または危険にさらされたサーバーが送信したイベントのピアにより、EventSourceクライアントにプロセスメモリを使い果たす可能性があります。空白のイベントセパレーターがない数百万の小さな完成済みデータフィールド、あるいは多数のチャンクにまたがって分割された単一の未完成の行を送信することにより、パーサーは、バイトベースの maxEventSize と maxResponseSize の制限が制限しない、フィールドごとおよびチャンクごとの状態をより多く保持します。また、maxResponseSize は展開前に圧縮された本文で強制されるため、小さな圧縮応答が、プロセスを終了するのに十分な保持メモリに拡張する可能性があります。アプリケーションは、応答のみを制御する信頼できないピアへのEventSource接続を維持するだけで済み、可用性のみが影響を受けます。この問題は、undici 6.29.1、 7.30.1、 8.12.2 で修正されています。この問題は、バイト制限とは無関係に、保持されたパーサーの状態を拘束しているため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109924)

    undici は、Node.js 用のHTTPクライアントライブラリです。5.15.0 から 6.29.0、7.0.0 から 7.30.0、8.0.0 から 8.12.1 のバージョンでは、Node.js によって公開されたバンドル化された WebSocket を含むその WebSocket クライアントが、悪意のある、または危険にさらされている WebSocket サーバーによって、プロセスメモリを使い果たすように駆動される可能性があります。受信した PING フレームごとに、クライアントは自動的に PONG 応答を書き込み、ソケット書き込みからのバックプレッシャー信号を無視します。このため、クライアントの PONG を決して読み取らずに小さな PING フレームをストリームするサーバーは、Node.js プロセスがメモリを使い果たして終了するまで、アウトバウンド書き込みキューとヒープを制限なく増やします。この攻撃はリモートで認証されておらず、通常のWebSocket接続のみが必要であり、また非対称です。これは、小さなインバウンドPINGがはるかに大きな保持アウトバウンドキューを生成し、可用性のみが影響を及ぼすためです。この問題は undici 6.29.1、 7.30.1、および 8.12.2 で修正されています。これらは、自動 PONG 応答がソケットバックプレッシャーに達すると WebSocket フレーム解析を一時停止し、排出キューをバウンドすることで再開するため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。
    (CVE-2026-109932)

    undici は、Node.js 用のHTTPクライアントライブラリです。4.2.1 から 6.29.0、7.0.0 から 7.30.0、8.0.0 から 8.12.1 のバージョンでは、TLS 1.2 サーバーが接続の確立後に再ネゴシエーションを行い、リクエストされたホストとホスト名が一致しない別のCA信頼できる証明書を提示すると、クライアントプロセスがクラッシュします。Node.js は、再ネゴシエートされたハンドシェイクでホスト名の検証を再実行し、Certificate-AltName エラーでソケットを破壊します。しかし、Undici の established-socket エラーハンドラーは、このエラーコードは決して発生し得ないと断言したため、ピア制御のエラーは、Node.js プロセスを終了する捕捉されないアサーションとなり、HTTP/1.1 パスと HTTP/2 パスの両方に影響を与えます。undici またはグローバル fetch() を通じて到達した悪意のある、または危険にさらされている HTTPS エンドポイントは、サーバー主導の単一の再ネゴシエーションでクライアントをクラッシュさせることができ、そのプロセスでのすべてのインフライト中のリクエストとバックグラウンド作業が停止されます。また、攻撃者はエンドポイントをコントロールし、通常の有効な証明書を 2 つ提示できるため、悪用に CA の危険にさらす必要はありません。TLS1.3は再ネゴシエーションをサポートしていないため、影響を受けるのはTLS1.2のみです。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS 1.3 へのアウトバウンド接続を制限して、ターゲットのエンドポイントがサポートしているときに再ネゴシエーションが起こらないようにします。(CVE-2026-87018)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-3328)

critical Nessus プラグイン ID 371902

バージョン 1.2