CVE-2026-109855 Denegación de servicio en el cliente WebSocket de undici por handshake HTTP/2 fallido

Qué es CVE-2026-109855

En undici 8.11.0 y 8.11.1, el cliente WebSocket experimental, habilitado por defecto cuando se permite HTTP/2, maneja mal un handshake WebSocket fallido sobre HTTP/2: el stream subyacente queda abierto sin listener de errores y, al destruir la conexión un servidor malicioso, se emite un error no controlado que termina el proceso de Node.js. Un servidor remoto no autenticado puede así provocar una denegación de servicio. Se corrige en undici 8.11.2; como mitigación, configurar allowH2 en false o evitar conexiones…

Productos y versiones afectadas

• undici

  • desde 8.11.0 hasta antes de 8.11.2

Qué hacer

1. Verificá si usás undici y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

undici is an HTTP client library for Node.js. In versions 8.11.0 and 8.11.1, its experimental WebSocket client, which is enabled by default when HTTP/2 is allowed, mishandles a failed WebSocket handshake over HTTP/2: the request is already marked completed, so the abort becomes a no-op and the underlying HTTP/2 stream is left open with no error listener. When a malicious server then destroys the connection, the orphaned stream emits an unhandled error and the Node.js process exits. A remote, unauthenticated server can therefore crash any client that opens a WebSocket to it over HTTP/2, resulting in a denial of service. The issue is fixed in undici 8.11.2, and users should upgrade to 8.11.2 or later. As a workaround, set allowH2 to false to disable HTTP/2 for WebSocket connections, or avoid opening WebSocket connections to untrusted servers.

Referencias

• github.com/nodejs/undici/security/advisories/GHSA-qq8j-7v2v-3rwp
• cna.openjsf.org/security-advisories.html

Historial de la alerta

1. 15 OCT · 07:26VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.