Node.js FoundationのundiciにおけるCRLF インジェクションの脆弱性
概要
脆弱性 (CVE-2022-35948) が報告されています。不正な操作・情報露出のリスクがあります。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
undici は、HTTP/1.1 ディスパッチャーで Content-Type ヘッダーとして使用する前に、ダックタイプのブロブに似たリクエストボディの type プロパティを検証しません。undici の 6.28.0 より前のバージョン、7.0.0 から 7.29.0 より前のバージョン、および 8.0.0 から 8.9.0 より前のバージョンでは、手作りのブロブに似たボディ（request、stream、pipeline、または dispatch 経由）を渡し、その type が信頼できない入力から派生しているアプリケーションは、攻撃者が CRLF シーケンスを注入して任意の HTTP ヘッダーを追加し、アップストリームを通過する第 2 のリクエストを密輸できる可能性があります。ネイティブの Blob オブジェクトは、そのコンストラクターが type から CRLF を除去するため安全であり、fetch はヘッダーを検証するため影響を受けませんが、ユーザー入力からダックタイプのブロブ形状を構築するエコシステムのライブラリは脆弱な経路に到達する可能性があります。これは、CVE-2022-35948 および CVE-2026-1527 と同じ欠陥クラスに属し、以前の修正ではカバーされなかったヘッダーシンクに関する問題です。この問題は undici の 6.28.0、7.29.0、および 8.9.0 で修正されています。
出典: JVN (Japan Vulnerability Notes) NVD
自動生成の要約
取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。
CVE-2022-35948 という番号がついた弱点 (脆弱性) が見つかりました。
不正な操作・情報露出のリスクがあります。
対策: ベンダー公式の修正版に更新してください。
心配なら、システム担当者や製品の公式サイトで「CVE-2022-35948」を検索してください。
CVE-2022-35948
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。
脆弱性 (分類未定) が報告されています。
影響バージョンはベンダーのアドバイザリで確認してください。
重要度: ?。不正な操作・情報露出のリスクがあります。
ベンダー公式アドバイザリの修正版に更新してください。
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで影響コンポーネントを特定する。
-
2事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2022-35948 node-undici 修正版: 5.8.2+dfsg1+~cs18.9.18.1-1