毎朝 7:00 更新メールで受け取る
security トップ / 2026.10.28 の号 / JavaScript
062026.10.28 の号 全10件
JavaScript2026.10.28高

Node.js の fetch を支える undici で、クライアント停止や証明書検証の素通りなど4件

何が起きたか

TLS 1.2 のサーバーが接続後に再ネゴシエーションして別の証明書を出すと、undici(グローバル fetch を含む)がアサーションエラーで Node.js プロセスごと落ちます。Agent に tls オプションで渡した checkServerIdentity などの関数が内部の JSON 複製で消え、証明書ピンニングが効かない問題もあります。ほかに、redirect と cache を共有キャッシュで組み合わせたときのキャッシュ汚染と他ユーザーへの情報漏えい、8.11 系の HTTP/2 WebSocket でのプロセス停止が公表されました。

やること

使っている系列に合わせて 6.29.1 / 7.30.1 / 8.12.2 へ更新します。すぐ更新できない場合は、TLS 1.3 のみに制限する(connect で minVersion と maxVersion を TLSv1.3 に)、TLS の検証関数は tls ではなく connect で渡す、WebSocket は allowH2: false にする、が回避策です。

同じ日の脆弱性
Python重大

MLflow のトラッキングサーバーで、認証なしに任意の Python コードを実行される

mlflow 3.12.0〜3.16.x(ファイル読み取りの件は 3.10.0〜3.16.1) → 3.17.0
GHSA-26p8-2jq9-3vq901
Python重大

Authlib で、署名のない JWS や偽造した JWT が検証済みとして通る

authlib 1.8.0 以前(空 HMAC 鍵の件は 1.9.0 以前) → 1.9.1
GHSA-6v38-4h7w-rj9h02
JavaScript重大

better-auth で、メールアドレスを知っているだけで他人としてサインインされる

better-auth 1.4.0-beta.18〜1.7.6(OAuth Proxy の件は 1.5.0-beta.12〜1.7.6) → 1.7.7
GHSA-965c-763c-88jm03
Python重大

AI エージェントフレームワーク Agno で、eval() 経由の任意コード実行

agno 2.3.24 より前 → 2.3.24
GHSA-m4w4-3r8h-jw9804
Python重大

医用画像 AI の MONAI で、細工した DICOM 1枚でサーバー停止や推論結果の改ざん

monai 1.6.1 より前 → 1.6.1
GHSA-6hp3-vr39-rqw805
PHP高

Symfony で、細工した Cache-Control ヘッダーや YAML 1つでサーバーに負荷やクラッシュ

symfony/http-foundation, symfony/yaml http-foundation 4.1.0〜5.4.53 / 6.0.1〜6.4.45 / 7.0.0〜7.4.18 / 8.0.0〜8.1.6、yaml 2.0.0〜5.4.53 / 6.0.0〜6.4.44 / 7.0.0〜7.4.17 / 8.0.0〜8.1.5 → 5.4.54 / 6.4.48 / 7.4.21 / 8.1.9
GHSA-r925-mgvr-h9cc07
Python高

GitPython で、利用者が渡したブランチ名や URL から任意コマンド実行・任意ファイル読み取り

GitPython 3.1.62 以前 → 3.2.0
GHSA-f9j4-qggq-h23908
Python高

vLLM で、リクエストの指定により別リビジョンのプロセッサコードを実行される

vllm 0.7.3〜0.30.x → 0.31.0
GHSA-h3rc-6mm3-gc2m09
Java高

Guava の CompactHashMap などで、72バイトのシリアライズデータから巨大なメモリ確保

com.google.guava:guava 4.0〜33.7.1 → 33.7.2
GHSA-xxph-c9ww-hj9410