Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-354
  • CWE-1284

CVE-2026-118782

Forge (node-forge): PKCS#12 MAC sahteciliği ve sabit anahtarlı PBE (sıfır iterasyon sayısı)

digitalbazaar forge

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
29 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, dosya tabanlı kimlik ve anahtar bilgilerinin doğrulama mekanizmasını aşmaya ve bazı şifrelerin çözülmesine yol açabilir. Kullandığınız yazılım bileşenini güncellemek, sisteminizin güvenini korumak için acil bir öncelik olmalıdır.

ÖzetTürkçe

Forge (node-forge) kütüphanesinin 1.4.1 öncesi sürümleri, PKCS#12 MAC ve parola tabanlı şifreleme için sıfır veya negatif iterasyon sayısını kabul ediyor. Bu durumda pki.pbe.generatePkcs12Key parolaya ve tuza bağlı olmayan sabit bir anahtar üretiyor. Etkilenen uygulamalar, PKCS#12 ve PKCS#8 şifreli anahtar dosyalarını bu kütüphane ile işleyen sistemlerdir.

Saldırgan ne yapabilir?

Saldırgan, hazırlanmış bir PKCS#12 dosyası ile parola bütünlük denetimini aşabilir. 3DES ve RC2 tabanlı PBE şemalarında anahtar ve IV değerleri tahmin edilebildiği için gölgelenmiş anahtar torbaları ve şifreli içerikler çözülebilir.

Kaynaktaki açıklama (İngilizce)

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, node-forge accepted a PKCS#12 MAC or PKCS#12 password-based encryption iteration count of zero or less. pki.pbe.generatePkcs12Key() then returned a constant key independent of the password and salt, allowing crafted PKCS#12 input processed by forge.pkcs12.pkcs12FromAsn1() to bypass password-based integrity checks. Predictable encryption keys and IVs also affected PKCS#12 PBE using pbeWithSHAAnd3-KeyTripleDES-CBC or pbewithSHAAnd40BitRC2-CBC, including shrouded key bags, encrypted SafeContents, and PKCS#8 ENCRYPTED PRIVATE KEY input processed independently by forge.pki.decryptPrivateKeyInfo(). PBES2/PBKDF2-encrypted content is unaffected. This issue is fixed in version 1.4.1.

Ne yapmalı?

  1. Forge (node-forge) kütüphanesini 1.4.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Uygulamanızın bağımlılık ağacında node-forge'un dolaylı olarak da kullanılıp kullanılmadığını kontrol edin ve tüm kopyaları güncelleyin. Genel öneri
  3. Yükseltme tamamlanana kadar, güvenilmeyen kaynaklardan gelen PKCS#12 dosyalarının ve şifreli özel anahtarların işlenmesini durdurun veya sınırlandırın. Genel öneri
  4. Eski 3DES veya RC2 tabanlı PBE şemalarıyla şifrelenmiş anahtar ve sertifika dosyalarını, PBES2/PBKDF2 gibi daha güçlü bir şemayla yeniden şifreleyin. Genel öneri

Ek önlemler

  • Harici kaynaklardan gelen sertifika ve anahtar dosyalarını yalnızca güvenilir kaynaklardan kabul edin. Genel öneri
  • Yüklü Node.js bağımlılıklarının sürümlerini düzenli olarak denetleyin ve bilinen açıklarla ilgili uyarıları takip edin. Genel öneri
  • Anahtar ve sertifika işleme yapan servislerin beklenmedik hata veya başarılı doğrulama kayıtlarını izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
digitalbazaar forge < 1.4.1 1.4.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.