リアルタイム更新の裏側で停止のおそれ：undiciの対象版と確認ポイント
取り上げた理由
利用者からは見えにくい部品の問題だからこそ、「使っているだけで全員が危険」と受け取らず、影響する接続の条件と更新対象を切り分けて確認したい題材です。
関係する人
Node.jsアプリやサービスの開発・運用を担当する方と、そのサービスを利用する方。個別のサービスがこの部品を使っているかは、本記事では確認していません。
何が分かったか
今回の問題は、undiciのEventSourceクライアントが、悪意のある、または侵害された配信元からデータを受け取ると、プロセスのメモリを使い尽くすおそれがあるというものです。公式資料が挙げる影響は、処理を動かし続けられるかどうかという「可用性」に限られています。
成立する条件
影響の条件は、アプリが信頼できない相手とのEventSource接続を維持していることです。相手は応答の内容を制御するだけで、この問題を引き起こし得ると説明されています。
関係する版
OSVの構造化情報では、npmパッケージundiciの対象範囲は、6.5.0以上6.29.1未満、7.0.0以上7.30.1未満、8.0.0以上8.12.2未満です。
いま確認すること
利用中の系列と版を分けて確認してください。
起こり得ること
データの処理中に内部で保持する情報が増え続け、プロセスが終了するほどのメモリを消費する可能性があります。受信データのバイト数を制限するだけでは、この内部状態の増加を抑えきれない点が問題です。
いま確認すること
つまり、undiciが入っているかどうかだけでは、個別のアプリへの影響は判断できません。対象の版に加えて、EventSourceを使っているか、どこへ接続する設計かまで確認するのが、この資料に沿った切り分けです。
修正情報
公式資料は、修正版として6.29.1、7.30.1、8.12.2への更新を案内しています。修正では、EventSourceの処理中に保持する状態にも上限を設けています。資料の回避策欄に、別の回避策の記載はありません。
いま確認すること
開発・運用担当者は、利用しているundiciの版とEventSourceの接続先を確認し、対象に当たる場合は利用系列に対応する修正版への更新を検討してください。サービスを利用する側は、自分の端末を更新すれば必ず解消する問題とは決めつけず、影響の有無や対応状況をサービス提供者の案内で確認する、という役割分担になります。
未確認のこと
この資料だけでは、特定のサービスでの使用状況、更新の適用状況、実際の被害や悪用の有無までは分かりません。また、この問題について情報漏えいや乗っ取りが起きると説明しているわけではありません。
まだ分からないこと
- 個別サービスのundiciの版、EventSourceの利用有無、接続先とその信頼性は未確認です。
- 修正版の適用状況と、実際の被害・悪用の有無は未確認です。
次に確認すること
公式アドバイザリとOSVの対象範囲・修正版・影響条件に変更がないかを再確認します。個別サービスの状況は、それぞれの提供者の案内と区別して扱います。
一次資料
- OSV · Radar観測: 2026/10/24 12:35 JST