undici: Improper certificate validation in Agent dispatcher

Zusammenfassung

undici, the HTTP client library for Node.js, silently drops function-valued tls options such as a custom checkServerIdentity when they are passed to Agent, the default dispatcher behind request, fetch and setGlobalDispatcher. A TLS peer whose certificate the custom callback should reject, but which passes Node's default hostname and chain checks, is then accepted. Only applications that rely on such callbacks for certificate or public-key pinning are at risk, and an on-path attacker is required. The scores differ between sources (9.1 in the CVE data, 7.4 in the GitHub advisory).

Betroffen

• undici 4.0.0 bis vor 6.29.1
• undici 7.0.0 bis vor 7.30.1
• undici 8.0.0 bis vor 8.12.2
• Unbekannt: welche Node.js-Versionen eine betroffene undici-Version enthalten.

Behoben in

• undici 6.29.1
• undici 7.30.1
• undici 8.12.2
• Auf eine dieser oder eine neuere Version aktualisieren.

Umgehung

• TLS-Optionen über connect statt über tls übergeben.
• Für Proxy-Ziele requestTls und proxyTls verwenden.
• Diese Workarounds betreffen nur Anwendungen, die Zertifikate pinnen; sie sind keine generelle Lösung.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
• Kein öffentlicher Exploit gefunden. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• undici über reguläre Abhängigkeitsupdates auf 6.29.1, 7.30.1, 8.12.2 oder neuer aktualisieren, einschliesslich transitiver Abhängigkeiten in Build-Tools und CI-Pipelines.
• Anwendungen mit eigenem checkServerIdentity oder Zertifikats- beziehungsweise Public-Key-Pinning priorisieren, etwa Integrationen mit Banken oder Zahlungsdienstleistern.
• Lockfiles und Abhängigkeitsbäume auf betroffene undici-Versionen prüfen.
• Bis zum Patch den connect-basierten Workaround im Pinning-Code anwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CNA record (OpenJS Foundation) cna.openjsf.org
• GitHub Security Advisory GHSA-2m5v-pch6-74hx github.com
• OSV GHSA-2m5v-pch6-74hx osv.dev
• GitLab Advisory Database: CVE-2026-109383 advisories.gitlab.com
• Debian Security Tracker: CVE-2026-109383 security-tracker.debian.org
• VulDB entry 420794 vuldb.com
• undici releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:31.