Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-354
  • CWE-1284

CVE-2026-119186

Forge (node-forge) AES-GCM tagLength doğrulanmadığı için kimlik doğrulama atlatma açığı

digitalbazaar forge

Orta 5,9 CVSS 3.1
Yayımlandı
Güncellendi
29 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kullandığımız bir şifreleme kütüphanesinde verilerin doğruluğunun denetlenmesini atlatabilir. Yalnızca belirli bir yapılandırma kullanan uygulamalar etkilenir, ancak bu durum sistemlerimizde kontrol edilmeli ve gerekiyorsa güncelleme hızla yapılmalıdır.

ÖzetTürkçe

Forge (node-forge), JavaScript ile yazılmış bir TLS uygulamasıdır. 1.4.1 öncesi sürümlerde, forge.cipher.createDecipher ile AES-GCM şifre çözme sırasında start fonksiyonuna verilen tagLength seçeneği doğrulanmıyordu. Bu seçenek alınan veriden türetilen, ayarlanmamış veya sıfıra dönüşen bir değer olduğunda ve eksik ya da boş bir kimlik doğrulama etiketi ile birleştiğinde, hesaplanan ve sağlanan etiketler boş olarak karşılaştırılıyor ve doğrulanmamış şifreli metin kabul ediliyordu. Varsayılan 128 bit etiket uzunluğunu kullanan veya sabit ve geçerli bir etiket uzunluğu veren uygulamalar etkilenmez.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapılmamış şifreli veriyi uygulamaya kabul ettirebilir ve verinin bütünlüğünü bozabilir.

Kaynaktaki açıklama (İngilizce)

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, node-forge did not validate the AES-GCM tagLength option passed to start() during decryption through forge.cipher.createDecipher(). When an application derived tagLength from received data or used an unset or zero-like configuration value, a value that converted to zero together with an empty or missing authentication tag caused the calculated and supplied tags to compare as empty, so decipher.finish() accepted unauthenticated ciphertext. Applications that omit tagLength to use the 128-bit default or pass a fixed valid tag length are unaffected. This issue is fixed in version 1.4.1.

Ne yapmalı?

  1. Forge (node-forge) kütüphanesini 1.4.1 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Uygulamanızın AES-GCM şifre çözmede tagLength değerini alınan veriden türetip türetmediğini veya sıfır benzeri ayarsız bir değer kullanıp kullanmadığını kontrol edin; bu değeri sabit ve geçerli bir etiket uzunluğuyla değiştirin ya da varsayılan değere bırakın. Genel öneri
  3. Güncelleme tamamlanana kadar, kimlik doğrulama etiketi eksik veya boş olan şifreli verileri reddeden bir kontrol ekleyin. Genel öneri

Ek önlemler

  • Bağımlılık envanterinizde node-forge sürümlerini tarayarak 1.4.1 öncesi kurulumları belirleyin. Genel öneri
  • Şifre çözme işlemlerinde hata ve başarısız doğrulama kayıtlarını izleyerek beklenmeyen davranışları tespit edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
digitalbazaar forge < 1.4.1 1.4.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.