undiciは、Node.js向けのHTTPクライアントライブラリです。バージョン6.5.0から6.29.0、7.0.0から7.30.0、および8.0.0から8.12.1において、そのEventSourceクライアントは、悪意のあるまたは侵害されたServer-Sent Eventsの相手から、プロセスメモリを使い切るように操作される可能性があります。 相手が、空白のイベント区切りなしに数百万の小さな完了データフィールドを送信したり、単一の未完了の行を多数のチャンクに分割して送信したりすると、パーサーは各フィールドおよび各チャンクの状態を増加させ続け、バイト単位のmaxEventSizeおよびmaxResponseSizeの制限を超える可能性があります。 また、maxResponseSizeは圧縮されたデータに対して適用されるため、小さな圧縮された応答が展開されることで、プロセスを終了させるだけのメモリが保持される可能性があります。 アプリケーションは、信頼できない相手とのEventSource接続を維持するだけで済みますが、その影響は可用性に限定されます。 この問題は、undiciのバージョン6.29.1、7.30.1、および8.12.2で修正されており、これらのバージョン、またはそれ以降のバージョンにアップグレードすることを推奨します。 解決策はありません。
CVSS 3.1: 7.5 (高い) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)