Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-295
  • CWE-436

CVE-2026-119190

Forge (node-forge): verifyCertificateChain üzerinde basicConstraints atlatma açığı

digitalbazaar forge

Yüksek 7,4 CVSS 3.1
Yayımlandı
Güncellendi
29 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, güvenli bağlantıların doğrulamasını atlatarak sahte sertifikalarla sistemlerin kimliğinin taklit edilmesine yol açabilir. Etkilenen uygulamalarda müşteri verilerinin ele geçirilmesi ve hizmet güvenilirliğinin zarar görmesi riski bulunur. Kütüphanenin hızlıca güncellenmesi önerilir.

ÖzetTürkçe

Forge (node-forge) kütüphanesinin 1.4.1 öncesi sürümlerinde, 2.5.29.10 ve 2.5.29.13 eski uzantı OID'leri basicConstraints olarak ayrıştırılıyor ve pki.verifyCertificateChain fonksiyonu adıyla eşleşen ilk uzantıyı kullanıyor. Saldırının gerçekleşmesi için uygulamanın güvendiği bir CA'nın, saldırganın belirlediği eski OID'li uzantı içeren bir sertifika üretmesi gerekir; bu genellikle CA'nın imzalama isteğindeki uzantıları kopyalamasıyla olur. Etkilenen, TLS sertifika doğrulaması için bu kütüphaneyi kullanan uygulamalar ve sistemlerdir.

Saldırgan ne yapabilir?

Saldırgan, sertifikasının CA olarak kabul edilmesini sağlayarak herhangi bir alan adı için sahte sertifika üretebilir ve sunucu veya istemci kimliğine bürünebilir.

Kaynaktaki açıklama (İngilizce)

Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, node-forge parsed deprecated extension OIDs 2.5.29.10 and 2.5.29.13 as basicConstraints, and pki.verifyCertificateChain() used the first extension with that name. Exploitation requires a CA trusted by the application to issue a certificate carrying an attacker-supplied deprecated-OID extension, commonly because the CA copies extensions from a certificate signing request. By placing a permissive deprecated extension before the genuine 2.5.29.19 basicConstraints extension, the certificate holder could have the certificate accepted as a CA and issue certificates for arbitrary names, enabling server or client impersonation. If the issuing CA adds a keyUsage extension without keyCertSign, node-forge rejects the chain. This issue is fixed in version 1.4.1.

Ne yapmalı?

  1. Forge (node-forge) kütüphanesini 1.4.1 veya daha yeni bir sürüme yükseltin ve bu kütüphaneye bağlı uygulamaları yeniden derleyip dağıtın. Üretici
  2. Kütüphaneyi doğrudan kullanmasanız bile dolaylı bağımlılık olarak içeren projelerde kullanılan sürümleri kontrol edin. Genel öneri
  3. Güncelleme yapılana kadar CA'ların imzalama isteklerindeki uzantıları olduğu gibi kopyalamasını engelleyin ve yetkisiz sertifika üretimini izleyin. Genel öneri

Ek önlemler

  • Sertifika zincirlerinde yer alan CA'ların uzantı kopyalama ve sertifika üretim politikalarını gözden geçirin. Genel öneri
  • Kendi CA'nızdan veya güvendiğiniz CA'lardan çıkan beklenmeyen sertifikaları düzenli olarak denetleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
digitalbazaar forge < 1.4.1 1.4.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.