CVE-2026-84961 (CRITICAL): undici 7.29.0 in the preinstalled AWS SDK of nodejs base images

Đang mở
  • Có gì không ổn?
#683 0 bình luận 1 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
55/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
aws, docker, node.js
Lĩnh vực
cloud, infrastructure, security

Hướng nghiên cứu

Start by inspecting package.json in the published layers for the listed nodejs base-image tags, especially /var/runtime/node_modules/@aws-sdk/node_modules/undici and Node's bundled copy. Rebuild the affected images with undici at the stated fixed versions and verify that the published layers no longer contain the vulnerable copies, including the Node 24 runtime image.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

The Node.js Lambda base images ship undici 7.29.0 inside the preinstalled AWS SDK v3, at /var/runtime/node_modules/@aws-sdk/node_modules/undici. That version is affected by CVE-2026-84961 (CVSS 9.1), fixed upstream in undici 7.29.1, published 2026-09-04.

Verified by reading package.json from the published image layers of:

  • public.ecr.aws/lambda/nodejs:24.2026.09.12.00 - undici 7.29.0
  • public.ecr.aws/lambda/nodejs:24.2026.09.08.11 - undici 7.29.0
  • public.ecr.aws/lambda/nodejs:22.2026.06.19.17 - undici 7.29.0
  • public.ecr.aws/lambda/nodejs:26-preview - undici 7.29.0 in the SDK, and 8.10.0 in Node's own bundled copy, which is below the 8.10.2 fix

Both the 09-08 and 09-12 builds were produced after the fix was available.

Note this is separate from Node's own bundled undici: Node v24.20.0 bundles deps/undici 7.29.0 and Node v24.21.0 bundles 7.29.1, but no Lambda base image ships v24.21.0 yet. Both copies are flagged by scanners.

Impact: every image built FROM these bases inherits the finding, so enterprise scanners with a critical-severity gate block production promotion, even for functions that bundle their own SDK and never import the preinstalled one.

Request: rebuild the nodejs base images with an SDK carrying undici >= 7.29.1, and ideally ship a Node 24.21.0-based image so the runtime's own bundled copy is patched too.

Ngôn ngữ chính
Không có dữ liệu ngôn ngữ
Star
775
Fork
117
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của aws/aws-lambda-base-images

Tất cả issue của aws/aws-lambda-base-images

Issue tương tự

Thêm issue về Cloud

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.