नोड-फोर्ज (node-forge) में क्रिप्टोग्राफिक हस्ताक्षर का अनुचित सत्यापन

CVE-2022-24771 node-forge लाइब्रेरी को प्रभावित करता है, विशेष रूप से RSA PKCS#1 v1.5 हस्ताक्षर सत्यापन कोड। यह भेद्यता डाइजेस्ट एल्गोरिथ्म संरचना की ढीली जाँच के कारण है। यह एक हमलावर को एक तैयार संरचना बनाने की अनुमति देता है जो पैडिंग बाइट्स को चुराता है और कम सार्वजनिक घातांक का उपयोग करते समय PKCS#1 एन्कोडेड संदेश के एक अप्रमाणित भाग का उपयोग करके हस्ताक्षर को जाली बना सकता है। RSA हस्ताक्षर सत्यापन के लिए node-forge पर निर्भर करने वाले और छोटे सार्वजनिक घातांक का उपयोग करने वाले कॉन्फ़िगरेशन का उपयोग करने वाले अनुप्रयोगों के लिए जोखिम महत्वपूर्ण है।

1. आरक्षित2022-02-10
2. प्रकाशित2022-03-18
3. संशोधित2025-04-23
4. EPSS अद्यतन2026-04-02

इस भेद्यता का समाधान node-forge लाइब्रेरी को संस्करण 1.3.0 या उच्चतर में अपडेट करना है। यह संस्करण डाइजेस्ट एल्गोरिथ्म संरचना के सत्यापन को ठीक करता है, पैडिंग हेरफेर और हस्ताक्षर जालसाजी को रोकता है। इस जोखिम को कम करने के लिए node-forge के नवीनतम स्थिर संस्करण में अपग्रेड करने की पुरजोर सिफारिश की जाती है। इसके अतिरिक्त, node-forge का उपयोग करने वाले कोड की समीक्षा करें ताकि यह सुनिश्चित हो सके कि सुरक्षित सार्वजनिक घातांक का उपयोग किया जा रहा है और कुंजी और हस्ताक्षर प्रबंधन के लिए सर्वोत्तम प्रथाओं का पालन किया जा रहा है।

अंतिम अपडेट

1.4.0हाल ही में