CVE-2026-87018

undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.2.1 do 6.29.0, od 7.0.0 do 7.30.0 i od 8.0.0 do 8.12.1 proces klienta ulega awarii, gdy serwer TLS 1.2 renegocjuje po nawiązaniu połączenia i przedstawia inny certyfikat zaufany przez urząd certyfikacji, którego nazwa hosta nie jest zgodna z żądanym hostem. Node.js ponownie przeprowadza weryfikację nazwy hosta po renegocjowanym uzgadnianiu i niszczy gniazdo, powodując błąd alternatywnej nazwy certyfikatu, ale moduł obsługi błędów ustalonej nazwy gniazda w undici stwierdził, że ten kod błędu nigdy nie może wystąpić, więc kontrolowany przez peera błąd stał się nieprzechwyconą asercją, która kończy proces Node.js, wpływając zarówno na ścieżki HTTP/1.1, jak i HTTP/2. Złośliwy lub naruszony punkt końcowy HTTPS, do którego można dotrzeć za pośrednictwem undici lub globalnej funkcji fetch(), może spowodować awarię klienta w wyniku pojedynczej renegocjacji inicjowanej przez serwer, usuwając w tym procesie wszystkie żądania w locie i pracę w tle, a wykorzystanie tego nie wymaga kompromisu urzędu certyfikacji, ponieważ osoba atakująca kontroluje punkt końcowy i może przedstawić dwa zwykłe ważne certyfikaty. Dotyczy to tylko protokołu TLS 1.2, ponieważ protokół TLS 1.3 nie obsługuje renegocjacji. Problem został rozwiązany w undici 6.29.1, 7.30.1 i 8.12.2, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. W ramach obejścia ogranicz połączenia wychodzące do protokołu TLS 1.3, aby nie mogła nastąpić renegocjacja, jeśli obsługują ją docelowe punkty końcowe.