四个 undici 漏洞影响周下载量达 1.33 亿次的热门软件包

sec随谈
sec随谈

sec随谈

2026年6月22日 13:34
北京

在小说阅读器读本章

去阅读

概要

维护团队已披露广泛使用的 Node.js HTTP 客户端 undici 中存在的四个安全漏洞。该软件包每周下载量超过 1.33 亿次，因此影响范围极为广泛。其中两个漏洞可导致拒绝服务，另外两个则削弱了 SOCKS5 代理的安全性。目前尚未确认存在在野利用行为。

漏洞的重要性

undici 内置于 Node.js 本身并为无数应用程序提供支持。凭借每周 1.33 亿次的下载量，即便是影响范围较窄的漏洞也会波及庞大的用户群体。其中代理漏洞的危害最为严重，可能导致凭据被路由至错误的服务器或破坏 TLS 证书固定，从而为数据泄露和中间人攻击打开大门。将 SOCKS5 代理与多个源站配合使用的应用程序面临最高风险。

攻击原理

第一个代理漏洞 CVE-2026-6734 源于连接池复用问题。当 SOCKS5 代理代理为多个源站服务时，undici 会复用同一个连接池，导致发往源站 B 的请求可能被路由至源站 A，凭据和数据因此到达错误的目标，且 HTTPS 可能静默降级为 HTTP。

第二个代理漏洞 CVE-2026-9697 会在 SOCKS5 连接上丢弃 requestTls 选项，连接随即回退至 Node 的默认信任存储，自定义 CA 证书固定被忽略，任何受公共信任的证书均被接受，从而使中间人读取和篡改攻击成为可能。

两个 WebSocket 漏洞 CVE-2026-12151 和 CVE-2026-9675 则会导致拒绝服务。恶意服务器通过持续发送大量小型或空碎片帧，使每帧均通过验证，但内存无限增长直至进程崩溃。连接至不受信任 WebSocket 端点的应用程序受此影响最为严重。

受影响版本

SOCKS5 漏洞自 undici 7.23.0 版本引入，CVE-2026-6734 影响至 8.1.0 的各版本；碎片计数拒绝服务漏洞影响 6.17.0 及以后的版本；累积碎片拒绝服务漏洞是 8.1.0 特有的回归问题。v6.25.0 系列已提前包含累积检查，不受该回归问题影响。

补丁修复与缓解措施

修复程序现已正式发布，请根据所使用的版本分支升级至 undici v6.27.0、v7.28.0、v8.2.0 或 v8.5.0，其中 v8.5.0 版本涵盖全部四个问题的修复。具体版本对应关系请参阅 GitHub 上的官方 undici 安全公告，也可从 undici npm 页面获取最新版本。目前尚无已确认的公开概念验证代码，但鉴于这些 undici 漏洞的广泛影响，建议尽快完成修复。同时，还需审查传递性依赖项，因为许多库内置了 undici。若暂时无法升级，可为每个源站使用独立的 SOCKS5 代理作为临时缓解措施。

参考链接：

https://github.com/nodejs/undici/security/advisories