CVE-2026-109855
undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.11.2
Выполните обновление библиотеки undici до версии 8.11.2 или временно отключите HTTP/2 при инициализации WebSocket-клиента.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Отказ в обслуживании WebSocket-клиента undici при сбое рукопожатия поверх HTTP/2.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При ошибке рукопожатия WebSocket по протоколу HTTP/2 клиент undici помечает запрос завершенным до фактического прерывания сессии. Вызов abort становится no-op операцией, а базовый HTTP/2-поток зависает в памяти без установленного слушателя ошибок. При принудительном сбросе соединения удаленным сервером поток генерирует unhandled error.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Любой удаленный сервер может аварийно завершить клиентское приложение на Node.js при попытке установить WebSocket-соединение через HTTP/2 (клиентский DoS).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
undiciundici
>= 8.11.0➔Fix: 8.11.2
——
>= 8.11.0➔Fix: 8.11.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-109855: undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake. URL: https://cve.futuretools.ru/cve/CVE-2026-109855
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_109855,
title = {{CVE-2026-109855: undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-109855}},
note = {Оперативный инженерный анализ киберугроз}
}