Forge: verifyCertificateChain() removes trusted CA certificates with the same subject from the CA store

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used pki.verifyCertificateChain(), pki.createCaStore(), duplicate subject names to process the relevant input or security decision. node-forge modified the CA store while trying certificates that shared a subject name during pki.verifyCertificateChain(). A failed chain verification could permanently remove trusted CA certificates from the store, causing later valid chains to fail and creating a persistent availability impact for applications that reused the store. This issue is fixed in version 1.4.1.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…/forge/security/advisories/GHSA-4487-j8r4-4g2f Diğer
• github.com/…ommit/f6555609bd30f442fbfacd543155928ceccf98d0 Diğer
• github.com/digitalbazaar/forge/releases/tag/v1.4.1 Diğer

Kayıt geçmişi

1. 29 Eki 2026 21:47Yayımlandı

İlgili açıklar

• 7,5 CVE-2026-119191Forge (node-forge) asn1.fromDer fonksiyonunda BIT STRING çözümlemesi kaynak tüketimi
• 7,4 CVE-2026-119190Forge (node-forge): verifyCertificateChain üzerinde basicConstraints atlatma açığı
• 5,9 CVE-2026-119189Forge: X.509 pathLenConstraint not enforced by verifyCertificateChain() for CA certificates without keyUsage
• 7,5 CVE-2026-119188Forge (node-forge) TLS kayıt işlemede parçalanmış el sıkışma mesajı nedeniyle hizmet reddi
• 7,5 CVE-2026-119187Forge (node-forge) TLS kayıt işlemede çağrı yığını tükenmesi nedeniyle hizmet reddi
• 5,9 CVE-2026-119186Forge (node-forge) AES-GCM tagLength doğrulanmadığı için kimlik doğrulama atlatma açığı