したがって、ALAS2023-2026-3330 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Node.js HTTP Agent 処理での脆弱性により、対応するリクエストが送信される前に書き込まれた応答をキープアライブソケットが処理する可能性があります。これにより、不適切な応答の関連付けが発生し、HTTP 応答の混乱や意図しないデータの漏洩につながる可能性があります。(CVE-2026-105481)

    Node.js の脆弱性により、「dns.resolve」関数が null バイトを含むドメイン名を不適切に処理し、ドメイン名の切り捨てやホスト名の検証の一貫性がない可能性があります。これにより、ホスト名の検証に依存するアプリケーションで、意図しないドメイン名を処理できる可能性があります。この問題は、Node.js 22.x、 24.x、 26.x リリースラインに影響を与えます。脆弱性に対処するには、パッチが適用されたバージョンにアップグレードしてください。
    (CVE-2026-105482)

    TLS IP が全角数字で書かれている場合の証明書ホスト名のバイパス(https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#tls-certificate-hostname-bypass-when-the-ip-is-written-fullwidth-digits-cve-2026-105483---high)(CVE-2026-105483)

    Node.js TLS 証明書のホスト名検証での脆弱性により、IP アドレスに緩やかに解決されるホスト名が、ホスト名の検証をバイパスする可能性があります。これにより、攻撃者が信頼できるエンドポイントになりすまし、中間者攻撃を促進する可能性があります。(CVE-2026-106069)

    Node.js TLS 証明書検証での脆弱性により、非標準的な IPv4 ホスト名が、証明書内の Subject Alternative Name(SAN)エントリに対して不適切に一致DNS可能性があります。これにより、DNS名に対して発行された証明書がIPエンドポイントを認証し、意図されたホスト名の検証をバイパスする可能性があります。(CVE-2026-106072)

    Node.js の脆弱性により、「crypto.randomUUID()」および「crypto.randomInt()」により使用されるエントロピーキャッシュが、ユーザーランド起動スナップショットおよび単一実行可能アプリケーション(SEA)に保存されます。その結果、同じスナップショットから初期化された複数のプロセスによって繰り返し値が生成され、ランダム性が弱まり、一意または予測不能な値に依存するセキュリティメカニズムが危険にさらされる可能性があります。(CVE-2026-106073)

    Node.js 権限モデルの脆弱性により、ファイルシステムのアクセス制限が「fs.realpathSync()」を通じてバイパスされる可能性があります。これにより、設定された権限ポリシーによって制限されているファイルシステムパスにアプリケーションがアクセスできるようになります。(CVE-2026-106074)

    undici は、Node.js 用のHTTPクライアントライブラリです。4.0.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、エージェントディスパッチャーは、コンストラクターオプションをオリジンごとの各プールに転送する前に、JSONベースのディープクローンを通じてそれらを渡します。そして、JSONは関数を表現できないため、checkServerIdentityコールバックを含む呼び出し元指定のtlsオプションは、TLSレイヤーに到達する前に警告なしでドロップされます。その結果、証明書がカスタムcheckServerIdentityによって拒否されるように書き込まれたものの、Nodeのデフォルトのホスト名とチェーンチェックに合格するTLSピアは、密かに受け入れられます。Agent は、request、fetch、および setGlobalDispatcher の背後にあるデフォルトのディスパッチャーであるため、これは多くのアプリケーションが使用するパスに影響を与え、EnvHttpProxyAgent はそのダイレクトおよび非プロキシルートでも影響を受けますが、証明書または公開鍵ピンニング用のカスタム checkServerIdentity などの関数値の tls オプションを渡すアプリケーションのみがリスクにさらされます。undici 6.29.1、 7.30.1、および 8.12.2 でこの問題は修正されています。これらは JSON クローンの外部に tls オプションを保持しているため、カスタム検証コールバックは変更されずに転送されるため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS オプションを tls の代わりに接続から渡すか、プロキシされた宛先に requestTls と proxyTls を使用します。(CVE-2026-109383)

    undici は、Node.js 用のHTTPクライアントライブラリです。7.0.0から7.30.0、8.0.0から8.12.1までのバージョンでは、オリジンレスエージェントが共有キャッシュストアを使用してリダイレクトとキャッシュインターセプタをその順序で構成すると、リダイレクトハンドラーがオリジンを変更する前にキャッシュが元のリクエストURLからキーを構築するため、クロスオリジンリダイレクトの後に生成される応答は元のキーの下に保存されます。信頼できるURLからのリダイレクトのターゲットを制御する攻撃者は、応答をその信頼できるURLにキャッシュさせ、その後の呼び出し元に提供できるため、持続型キャッシュポイズニングが可能になります。また、同じキーの取り違えにより、ユーザー固有のリソースへのプライベートで保存されていないリダイレクト応答が元のURLに保存され、その後認証されていない呼び出し元に提供される可能性があります。 プライベートデータの漏洩。アプリケーションが影響を受けるのは、オリジンレスエージェント、共有キャッシュストア、およびリダイレクト、その後キャッシュの構成がすべて使用される場合のみです。この問題は undici 7.30.1 および 8.12.2 で修正され、生成元が依然としてキャッシュキーと一致し、保存前に各リダイレクトホップのキャッシュ制御ポリシーを保持していることが検証されるため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、リダイレクトインターセプタの前にキャッシュインターセプタを構成する、オリジンごとのディスパッチャーとキャッシュストアを使用する、またはリダイレクト可能リクエストの共有キャッシングを無効にすることです。
    (CVE-2026-109829)

    undici は、Node.js 用のHTTPクライアントライブラリです。7.15.0から7.30.0、8.0.0から8.12.1までのバージョンでは、SRI仕様がASCII小文字の形式でトークンを定義している場合でも、そのfetch()実装はアルゴリズムトークンを小文字のみのセットと照合することでSubresource Integrityメタデータを検証します。そのため、大文字または混合SHA256など、有効だが小文字でないトークンは不明として扱われ、スキップされます。認識されたアルゴリズムが残っていない場合、undici は整合性リストを空として扱い、応答を受け入れます。このため、固定されたダイジェストと一致しない本文を返すサーバーは、チェックをパスします。応答本文のみを制御する攻撃者が、攻撃者が制御するバイトを、整合性エラーなしに有効な大文字または混合の SRI トークンをピン留めしたアプリケーションに配信でき、応答の整合性にのみ影響を与えます。undici 7.30.1 および 8.12.2 でこの問題は修正されています。これらは、検証前にアルゴリズムトークンを ASCII 小文字に正規化するため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、整合性メタデータには sha256、sha384、sha512 などの小文字のアルゴリズムトークンを使用します。(CVE-2026-109841)

    undici は、Node.js 用のHTTPクライアントライブラリです。6.23.0 から 6.29.0、7.18.0 から 7.30.0、8.0.0 から 8.12.1 までのバージョンにおいて、その fetch() 実装により、悪意のあるサーバーが 5 つ以上のコンテンツコーディングを含む応答を返し、本文を送信する前に接続を閉じると、その fetch() 実装によって Node.js プロセスがクラッシュします。
    Undici は、コンテンツエンコーディングの制限によりこうした応答を拒否しますが、そのチェックの前に内部応答ストリームを作成し、エラーリスナーを添付したりリクエストを中止したりせずに返します。そのため、早期クローズにより、孤立したストリームでコンテンツ長の不一致が表面化します。これは、Node.js処理されないエラーとして扱われ、プロセスを終了します。認証されていないリモートのサーバーが、アプリケーションが fetch() の拒否を適切にキャッチした場合でも、単一の応答でこれをトリガーし、サービス拒否を引き起こす可能性があります。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109869)

    undici は、Node.js 用のHTTPクライアントライブラリです。6.5.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、悪意のある、または危険にさらされたサーバーが送信したイベントのピアにより、EventSourceクライアントにプロセスメモリを使い果たす可能性があります。空白のイベントセパレーターがない数百万の小さな完成済みデータフィールド、あるいは多数のチャンクにまたがって分割された単一の未完成の行を送信することにより、パーサーは、バイトベースの maxEventSize と maxResponseSize の制限が制限しない、フィールドごとおよびチャンクごとの状態をより多く保持します。また、maxResponseSize は展開前に圧縮された本文で強制されるため、小さな圧縮応答が、プロセスを終了するのに十分な保持メモリに拡張する可能性があります。アプリケーションは、応答のみを制御する信頼できないピアへのEventSource接続を維持するだけで済み、可用性のみが影響を受けます。この問題は、undici 6.29.1、 7.30.1、 8.12.2 で修正されています。この問題は、バイト制限とは無関係に、保持されたパーサーの状態を拘束しているため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109924)

    undici は、Node.js 用のHTTPクライアントライブラリです。5.15.0 から 6.29.0、7.0.0 から 7.30.0、8.0.0 から 8.12.1 のバージョンでは、Node.js によって公開されたバンドル化された WebSocket を含むその WebSocket クライアントが、悪意のある、または危険にさらされている WebSocket サーバーによって、プロセスメモリを使い果たすように駆動される可能性があります。受信した PING フレームごとに、クライアントは自動的に PONG 応答を書き込み、ソケット書き込みからのバックプレッシャー信号を無視します。このため、クライアントの PONG を決して読み取らずに小さな PING フレームをストリームするサーバーは、Node.js プロセスがメモリを使い果たして終了するまで、アウトバウンド書き込みキューとヒープを制限なく増やします。この攻撃はリモートで認証されておらず、通常のWebSocket接続のみが必要であり、また非対称です。これは、小さなインバウンドPINGがはるかに大きな保持アウトバウンドキューを生成し、可用性のみが影響を及ぼすためです。この問題は undici 6.29.1、 7.30.1、および 8.12.2 で修正されています。これらは、自動 PONG 応答がソケットバックプレッシャーに達すると WebSocket フレーム解析を一時停止し、排出キューをバウンドすることで再開するため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。
    (CVE-2026-109932)

    Node.js Brotli デコーダーでの脆弱性により、細工された Brotli 入力を処理する際に、領域外メモリ書き込みが引き起こされる可能性があります。悪用に成功すると、メモリ破損やリモートコードの実行が引き起こされる可能性があります。
    (CVE-2026-111497)

    undici は、Node.js 用のHTTPクライアントライブラリです。4.2.1 から 6.29.0、7.0.0 から 7.30.0、8.0.0 から 8.12.1 のバージョンでは、TLS 1.2 サーバーが接続の確立後に再ネゴシエーションを行い、リクエストされたホストとホスト名が一致しない別のCA信頼できる証明書を提示すると、クライアントプロセスがクラッシュします。Node.js は、再ネゴシエートされたハンドシェイクでホスト名の検証を再実行し、Certificate-AltName エラーでソケットを破壊します。しかし、Undici の established-socket エラーハンドラーは、このエラーコードは決して発生し得ないと断言したため、ピア制御のエラーは、Node.js プロセスを終了する捕捉されないアサーションとなり、HTTP/1.1 パスと HTTP/2 パスの両方に影響を与えます。undici またはグローバル fetch() を通じて到達した悪意のある、または危険にさらされている HTTPS エンドポイントは、サーバー主導の単一の再ネゴシエーションでクライアントをクラッシュさせることができ、そのプロセスでのすべてのインフライト中のリクエストとバックグラウンド作業が停止されます。また、攻撃者はエンドポイントをコントロールし、通常の有効な証明書を 2 つ提示できるため、悪用に CA の危険にさらす必要はありません。TLS1.3は再ネゴシエーションをサポートしていないため、影響を受けるのはTLS1.2のみです。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS 1.3 へのアウトバウンド接続を制限して、ターゲットのエンドポイントがサポートしているときに再ネゴシエーションが起こらないようにします。(CVE-2026-87018)

    undici は、Node.js 用のHTTPクライアントライブラリです。7.15.0から7.30.0まで、8.0.0から8.12.1までのバージョンでは、その展開インターセプタは、これらのコールバックがスローする可能性のある例外をキャッチせずに、zlibストリームイベントコールバックから展開された応答データをダウンストリームハンドラーに転送します。undiciのエンジンは、ダウンストリームハンドラーからの同期スローをリクエストごとの失敗に変換しますが、スローがzlibコールバックから非同期に発生する場合、そのような保護は存在しません。結果として、応答が構成された最大サイズを超えたときにスローする内蔵ダンプインターセプタなど、設計によりスローするダウンストリームハンドラーは、Node.jsプロセスを終了させる捕捉されない例外としてエスケープします。悪意のある、または感染した HTTP サーバーが、構成された制限を超えて展開する小さな圧縮本体を返すことによって、このようなハンドラーを持つ展開インターセプタを構成するクライアントをクラッシュさせる可能性があります。このため、展開されたサイズだけが重要で、ワイヤ上のバイトは小さく残ります。この問題は undici 7.30.1 および 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、アップグレードまで応答処理中にスローする応答ハンドラーと展開インターセプタを構成しないようにしてください。
    (CVE-2026-87029)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici は、Node.js 用の HTTP クライアントライブラリです。7.15.0から7.30.0まで、8.0.0から8.12.1までのバージョンでは、その展開インターセプタは、これらのコールバックがスローする可能性のある例外をキャッチせずに、zlibストリームイベントコールバックから展開された応答データをダウンストリームハンドラーに転送します。undiciのエンジンは、ダウンストリームハンドラーからの同期スローをリクエストごとの失敗に変換しますが、スローがzlibコールバックから非同期に発生する場合、そのような保護は存在しません。結果として、応答が構成された最大サイズを超えたときにスローする内蔵ダンプインターセプタなど、設計によりスローするダウンストリームハンドラーは、Node.jsプロセスを終了させる捕捉されない例外としてエスケープします。悪意のある、または感染した HTTP サーバーが、構成された制限を超えて展開する小さな圧縮本体を返すことによって、このようなハンドラーを持つ展開インターセプタを構成するクライアントをクラッシュさせる可能性があります。このため、展開されたサイズだけが重要で、ワイヤ上のバイトは小さく残ります。この問題は undici 7.30.1 および 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、アップグレードまで応答処理中にスローする応答ハンドラーと展開インターセプタを構成しないようにしてください。
    (CVE-2026-87029)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
371866	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-3330)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/30	critical
366366	Linux Distros のパッチ未適用の脆弱性: CVE-2026-87029	Nessus	Misc.	2026/10/16	2026/11/6	high

検出

プラグインの検索

critical

high