IBM MAS Vulnerability Advisory: CVEs in undici, axios, protobufs dependencies

脆弱性概要 IBM MAS が axios-1.15.2、protobufs-8.0.1、undici-7.26 などのライブラリを使用しており、これらにはセキュリティ属性の欠如や弱い HMAC セッション鍵などの問題を含む複数の CVE 脆弱性が存在します。 影響範囲 IBM Maximo Application Suite は axios-1.15.2.tgz、protobufs-8.0.1.tgz、protobufs-8.2.0.tgz、undici-7.26.0.tgz を使用しており、これらのライブラリには複数の CVE 脆弱性が存在します。 影響を受けるバージョン：9.2.9.1.0 オペレーティングシステム：RedHat OpenShift 修正方法 1. CVE-2026-11525 説明：undici が Set-Cookie ヘッダをパースする際、RFC 6265 で指定された 3 つの標準トークンとの完全一致を厳密にチェックせず、Strict、Lax、None のいずれかを含む SameSite 属性の値を受け入れてしまいます。 修正：undici v6.26.0、v7.28.0 または v8.5.0 にアップグレードしてください。 2. CVE-2026-12151 説明：undici の WebSocket クライアントは、メッセージ内で蓄積されるフラグメント数に対して maxPayloadSize を強制しますが、フラグメント数の上限を強制していません。 修正：undici v6.26.0、v7.28.0 または v8.5.0 にアップグレードしてください。 3. CVE-2026-6733 説明：undici の HTTP/1.1 クライアントは、keep-alive ソケットを再利用する際に、応答キューへの投毒攻撃に対して脆弱です。 修正：undici v6.26.0、v7.28.0 または v8.5.0 にアップグレードしてください。 4. CVE-2026-6734 説明：SocksProxyAgent を使用する際、undici は接続プールの元のソース（Origin）とリクエストの元のソースが一致するかを検証せずに、異なる元のソース間で単一の接続プールの接続を再利用します。 修正：undici v7.26.0 または v8.0 にアップグレードしてください。 5. CVE-2026-9678 説明：undici のキャッシュインターセプタが、スペースパディングを含む資格付きプライベートまたは no-cache フィールド名を含む応答を、キャッシュ可能であると誤って判定します。 修正：undici v7.28.0 または v8.5.0 にアップグレードしてください。 6. CVE-2026-9679 説明：undici のクッキーパースラーは、parseSetCookie 内で %xx エンコードでデコードしたクッキー値をサポートしています。 修正：undici v6.26.0、v7.28.0 または v8.5.0 にアップグレードしてください。 7. CVE-2026-9697 説明：undici の ProxyAgent は、SOCKS5 プロキシ URI を設定した際に requestTls オプションを無音で破棄します。 修正：undici v7.28.0 または v8.5.0 にアップグレードしてください。 8. CVE-2026-48712 説明：protobufs は protobuf 定義を JavaScript (JS) 関数にコンパイルします。 修正：protobufs 7.6.1 および 8.4.1 にアップグレードしてください。 9. CVE-2026-54269 説明：protobufs は protobuf 定義を JavaScript (JS) 関数にコンパイルします。 修正：protobufs 8.6.0 および 7.6.3 にアップグレードしてください。 10. CVE-2026-54270 説明：protobufs は protobuf 定義を JavaScript (JS) 関数にコンパイルします。 修正：protobufs 8.2.0 にアップグレードしてください。 11. CVE-2026-44486 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 0.32.0 および 1.16.0 にアップグレードしてください。 12. CVE-2026-44487 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 0.32.0 および 1.16.0 にアップグレードしてください。 13. CVE-2026-44488 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 0.32.0 および 1.16.0 にアップグレードしてください。 14. CVE-2026-44489 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 1.16.0 にアップグレードしてください。 15. CVE-2026-44490 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 0.32.0 および 1.16.0 にアップグレードしてください。 16. CVE-2026-44492 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 0.32.0 および 1.16.0 にアップグレードしてください。 17. CVE-2026-44494 説明：Axios は、ブラウザおよび Node.js 向けの Promise ベースの HTTP クライアントです。 修正：Axios 1.16.0 にアップグレードしてください。 要約 IBM MAS が使用する複数のライブラリにセキュリティ脆弱性が存在します。これらの問題を修正するために、速やかに指定されたバージョンへのアップグレードをお勧めします。

目標達成 すべての支援者に感謝 — 100%達成しました！

IBM MAS Vulnerability Advisory: CVEs in undici, axios, protobufs dependencies

目標達成すべての支援者に感謝 — 100%達成しました！