Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-400
  • CWE-1333

CVE-2026-118779

Forge (node-forge) PEM çözümlemesinde regüler ifade kaynaklı hizmet reddi (ReDoS)

digitalbazaar forge

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
29 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, yazılım bileşenini kullanan sistemlerin kimlik doğrulaması gerektirmeden hizmet dışı kalmasına yol açabilir. Etkilenen web hizmetleri ve sunucular kesintiyle karşılaşabilir, bu da iş sürekliliği açısından orta-yüksek risk oluşturur. Güncelleme kısa sürede uygulanmalıdır.

ÖzetTürkçe

Forge (node-forge), JavaScript ile yazılmış bir TLS uygulamasıdır. 1.4.1 sürümü öncesinde pem.decode fonksiyonu, PEM girdilerini çözümlerken ve END satırını ararken zaman karmaşıklığı polinomsal olan regüler ifadeler kullanıyordu. Bu nedenle node-forge kullanan ve PEM girdisi işleyen tüm uygulamalar etkilenmektedir.

Saldırgan ne yapabilir?

Kimlik doğrulaması gerektirmeyen bir saldırgan, uzun ve hatalı biçimlendirilmiş bir PEM mesajıyla işlemci kullanımını aşırı artırabilir ve hizmetin yanıt vermemesine neden olabilir.

Kaynaktaki açıklama (İngilizce)

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used pem.decode(), lib/pem.js, missing END line to process the relevant input or security decision. node-forge used polynomial-time regular expressions in pem.decode(), including when searching for a matching END line and parsing encapsulated headers. An unauthenticated attacker able to supply PEM input to any high-level parser could consume excessive CPU with a long malformed message and cause denial of service. This issue is fixed in version 1.4.1.

Ne yapmalı?

  1. node-forge kütüphanesini 1.4.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Uygulamanızın bağımlılık ağacında node-forge'un dolaylı olarak da kullanılıp kullanılmadığını kontrol edin ve tüm kopyaları güncelleyin. Genel öneri
  3. Güncelleme yapılana kadar, PEM girdisi kabul eden uygulama uç noktalarında girdi boyutuna üst sınır koyun. Genel öneri

Ek önlemler

  • Dışarıdan alınan PEM verilerini işlemeden önce boyut ve süre sınırlarını uygulayın. Genel öneri
  • CPU kullanımındaki ani artışları ve yanıt sürelerindeki yükselmeleri izleyerek olağandışı istekleri tespit edin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
digitalbazaar forge < 1.4.1 1.4.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.