MoyenneCVE-2026-109932
Client WebSocket d'undici vulnérable à un déni de service via une mise en tampon automatique PONG illimitée
Exploitable dans des cas précis ou avec un impact limité : à corriger à la prochaine mise à jour.
- Sévérité
- Moyenne5.9 / 10
- Publiée le
- 2026(e)ko urriaren 27(a)
- Mise à jour
- 2026(e)ko urriaren 27(a)
L'avis
Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.
Impact
Le client WebSocket d'undici (y compris le globalThis.WebSocket livré avec Node.js) peut être conduit à épuiser la mémoire du processus par un serveur WebSocket malveillant ou compromis. Pour chaque trame PING reçue, le récepteur écrit automatiquement une réponse PONG sur le socket et ignore la valeur de retour false de socket.write(), qui est un signal de pression arrière. Ainsi, un serveur qui diffuse de petites trames PING sans jamais lire les PONG du client fait grandir la file d'écriture sortante et le tas sans limite jusqu'à ce que le processus Node.js manque de mémoire et s'arrête. L'attaque est distale et non authentifiée, nécessite seulement une connexion WebSocket normale, et est asymétrique : de petits PING entrants produisent une file d'écriture sortante conservée beaucoup plus grande. La disponibilité est le seul impact. Les versions undici 5.x, 6.x, 7.x et 8.x sont affectées ; le client WebSocket a été introduit dans la version 5.15.0.
Patches
Mettre à jour vers 6.29.1, 7.30.1 ou 8.12.2, qui suspendent l'analyse des trames WebSocket lorsque la réponse PONG automatique rencontre la pression arrière du socket et reprennent lors du drainage, bornant ainsi la file d'écriture sortante.
Workarounds
Aucun.
Composants touchés
| Composant | Versions touchées | Corrigé en |
|---|---|---|
| undiciJavaScript (npm) | >= 5.15.0, < 6.29.1 | 6.29.1 |
| undiciJavaScript (npm) | >= 7.0.0, < 7.30.1 | 7.30.1 |
| undiciJavaScript (npm) | >= 8.0.0, < 8.12.2 | 8.12.2 |
Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.