undiciは、Node.js向けのHTTPクライアントライブラリです。バージョン5.15.0から6.29.0、7.0.0から7.30.0、および8.0.0から8.12.1において、Node.jsに同梱されているWebSocketクライアントを含む、undiciのWebSocketクライアントは、悪意のある、または侵害されたWebSocketサーバーによって、プロセスメモリを使い果たすように操作される可能性があります。クライアントは、受信するPINGフレームごとに自動的にPONG応答を送信し、ソケットからの書き込みに関するバックプレッシャー信号を無視するため、クライアントのPONG応答を一切読み取らず、小さなPINGフレームを継続的に送信するサーバーは、送信キューとヒープを無限に増加させ、最終的にNode.jsプロセスがメモリを使い果たして終了します。この攻撃はリモートで行われ、認証は不要で、通常のWebSocket接続のみで実行可能です。また、非対称であり、小さな受信側のPINGフレームが、はるかに大きな送信キューを生成し、影響は可用性に限定されます。この問題は、undiciのバージョン6.29.1、7.30.1、および8.12.2で修正されており、これらのバージョン、またはそれ以降のバージョンにアップグレードすることを推奨します。回避策はありません。
CVSS 3.1: 7.5 (高い) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)