CVE-2026-109869 (HIGH): detected in Lambda Docker Images.
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 66/100
- issue の種類
- バグ
- 明瞭さ
- 明確に書かれている
- 活発さ
- 活発
- 技術スタック
- docker, javascript, node.js
調査の方向性
Issue には影響を受ける Lambda Node.js Docker イメージと undici 6.28.0 が記載されていますが、リポジトリ内のファイルやテストについての情報はありません。まず、これらのイメージがどのように undici を選択またはインストールするかを特定し、関連する build 定義を調べてください。影響を受けるバージョンを修正済みのリリース（6.29.1 以降）に更新してください。影響を受けるイメージが修正済みのバージョンを使用し、その build または脆弱性スキャンで CVE が解決済みと確認できれば完了です。
索引モデルが issue の本文から書いたものです。
説明
CVE Details
| CVE ID | Severity | Affected Package | Installed Version | Fixed Version | Date Published | Date of Scan |
|---|---|---|---|---|---|---|
| CVE-2026-109869 | HIGH |
undici |
6.28.0 |
6.29.1, 7.30.1, 8.12.2 |
2026-10-15T19:17:21.77Z |
2026-10-24T10:18:25.168683903Z |
Affected Docker Images
| Image Name | SHA |
|---|---|
public.ecr.aws/lambda/nodejs:latest |
public.ecr.aws/lambda/nodejs@sha256:92b7cccd985332238af80ac8da42d6965d418552e88955e315da4e3c0c76ca79 |
public.ecr.aws/lambda/nodejs:26-preview |
public.ecr.aws/lambda/nodejs@sha256:7da158022889eda783e336535b17adc063f0e03f34f44abf88d660be193c2860 |
public.ecr.aws/lambda/nodejs:24 |
public.ecr.aws/lambda/nodejs@sha256:92b7cccd985332238af80ac8da42d6965d418552e88955e315da4e3c0c76ca79 |
public.ecr.aws/lambda/nodejs:22 |
public.ecr.aws/lambda/nodejs@sha256:d138eff445f6ea04c51091d8e6cbb064d5663e850cddfa62396061586f98b126 |
Description
undici is an HTTP client library for Node.js. In versions 6.23.0 through 6.29.0, 7.18.0 through 7.30.0, and 8.0.0 through 8.12.1, its fetch() implementation crashes the Node.js process when a malicious server returns a response with more than five content codings and closes the connection before sending the body. undici rejects such responses because of a content-encoding limit, but it created the internal response stream before that check and returned without attaching an error listener or aborting the request, so the early close surfaces a content-length mismatch on the orphaned stream, which Node.js treats as an unhandled error and terminates the process. A remote, unauthenticated server can trigger this with a single response, even when the application correctly catches the fetch() rejection, resulting in a denial of service. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, and users should upgrade to one of those versions or later. There is no workaround.
Remediation Steps
- Update the affected package
undicifrom version6.28.0to6.29.1, 7.30.1, 8.12.2.
About this issue
- This issue may not contain all the information about the CVE nor the images it affects.
- This issue will not be updated with new information and the list of affected images may have changed since the creation of this issue.
- For more, visit Lambda Watchdog.
- This issue was created automatically by Lambda Watchdog.
- 主要言語
- 言語のデータがありません
- スター
- 775
- フォーク
- 117
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
aws/aws-lambda-base-images のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 67/100
aws/aws-lambda-base-images#784 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
aws/aws-lambda-base-images#729 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
aws/aws-lambda-base-images#728 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
aws/aws-lambda-base-images#726 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
aws/aws-lambda-base-images#722 ·
aws/aws-lambda-base-images の issue をすべて見る
似ている issue
-
bug v2
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
modelcontextprotocol/servers#5483 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 63/100
NSPG13/agent-bounties#1748 ·
メンテナーはふだん 1 日以内に返信
-
subtask
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
fga-eps-mds/2026.2-MeasureSoftGram-DOC#187 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 83/100
txn2/mcp-data-platform#2493 ·
メンテナーはふだん 1 日以内に返信