CVE-2026-33895
Açıklama
Forge (`node-forge` olarak da adlandırılır), Transport Layer Security'nin JavaScript ile yerel bir uygulamasıdır. Versiyon 1.4.0 öncesinde, Ed25519 imza doğrulaması, skaler S değerinin grup mertebesine göre modüler indirgenmediği (`S >= L`) sahte kanonik olmayan imzaları kabul etmektedir. Geçerli bir imza ve bunun `S + L` varyantı Forge üzerinde doğrulanırken; Node.js `crypto.verify` (OpenSSL destekli), spesifikasyonda tanımlandığı üzere `S + L` varyantını reddeder. Bu türdeki imza değiştirilebilirliği (signature malleability), pratikte kimlik doğrulama ve yetkilendirme mantığını atlatmak için kullanılmıştır (bkz. CVE-2026-25793, CVE-2022-35961). İmza benzersizliğine güvenen uygulamalar (örneğin; imza baytları ile tekilleştirme, yeniden oynatma takibi, imzalı nesne kanonizasyon kontrolleri) atlatılabilir. Versiyon 1.4.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- node-forge1.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| digitalbazaar forge | v ≤ 1.3.3 | — |
| node-forgenpm | v < 1.4.0 | 1.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.