Node.js undici: Cache Poisoning über Cross-Origin-Redirects

Zusammenfassung

undici, die HTTP-Client-Bibliothek für Node.js, kann eine Antwort, die nach einem Cross-Origin-Redirect entsteht, unter der ursprünglichen vertrauenswürdigen URL speichern, wenn ein Originless Agent, ein gemeinsam genutzter Cache-Speicher und die Komposition compose(redirect(), cache()) zusammen verwendet werden. Ein Angreifer, der das Ziel eines Redirects kontrolliert, kann den gemeinsamen Cache vergiften, sodass spätere Aufrufer Inhalte des Angreifers erhalten, ohne dass einer der beiden Ursprünge kontaktiert wird. Eine private Redirect-Antwort ohne Speicherung auf eine benutzerspezifische Ressource kann ebenfalls gecacht und einem nicht authentifizierten Aufrufer ausgeliefert werden, wodurch private Daten offengelegt werden.

Betroffen

• undici 7.0.0 bis vor 7.30.1
• undici 8.0.0 bis vor 8.12.2
• Nur Anwendungen, die einen Originless Agent, einen gemeinsam genutzten MemoryCacheStore oder SqliteCacheStore und compose(redirect(), cache()) kombinieren, sind betroffen.
• An Origin gebundene Client- und Pool-Dispatcher sowie compose(cache(), redirect()) sind nicht betroffen.

Behoben in

• 7.30.1
• 8.12.2

Umgehung

• Die Interceptoren als compose(cache(), redirect()) zusammensetzen.
• Dispatcher und Cache-Speicher pro Ursprung verwenden.
• Gemeinsames Caching bei Requests mit Redirects deaktivieren.

Ausnutzung

• Gemäss aktuellem Kenntnisstand nicht in freier Wildbahn ausgenutzt.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt; CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Lockfiles und Build-Pipelines auf undici prüfen (zum Beispiel mit npm ls undici), einschliesslich transitiver Kopien.
• Auf 7.30.1 oder 8.12.2 oder neuer aktualisieren; Overrides verwenden, wenn ein übergeordnetes Paket eine ältere Version festlegt.
• Falls ein Node.js-Dienst ausgehende Requests mit gemeinsamem Cache betreibt, Agent- und Interceptor-Konfiguration prüfen und die Workarounds anwenden, wenn das Patchen verzögert ist.
• Den CVSS-Wert bei NVD prüfen: Der CVE-Eintrag nennt 9.1, sekundäre Quellen nennen 7.4 (AC:H).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OpenJS CNA Security Advisories cna.openjsf.org
• GitHub Security Advisory GHSA-4w7w-5xrc-9h26 github.com
• OSV: GHSA-4w7w-5xrc-9h26 osv.dev
• GitLab Advisory Database: CVE-2026-109829 advisories.gitlab.com
• undici releases github.com
• Debian Security Tracker: CVE-2026-109829 security-tracker.debian.org
• Mend: CVE-2026-109829 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:31.