फोर्ज में BigInteger.modInverse() में शून्य इनपुट के साथ अनंत लूप के माध्यम से सेवा से इनकार (Denial of Service)

CVE-2026-33891 एक गंभीर Denial of Service (DoS) भेद्यता है जो node-forge लाइब्रेरी में मौजूद है। यह भेद्यता विशेष रूप से BigInteger.modInverse() फ़ंक्शन में एक अनंत लूप के कारण होती है, जो jsbn लाइब्रेरी से विरासत में मिला है। यदि modInverse() फ़ंक्शन को शून्य मान के साथ कॉल किया जाता है, तो आंतरिक विस्तारित यूक्लिडियन एल्गोरिथ्म एक अप्राप्य निकास स्थिति में प्रवेश करता है, जिसके परिणामस्वरूप प्रक्रिया अनिश्चित काल तक रुक जाती है और 100% CPU का उपयोग करती है। इसका मतलब है कि एक हमलावर, दुर्भावनापूर्ण ढंग से तैयार किए गए इनपुट के साथ, आपके सर्वर या एप्लिकेशन को क्रैश कर सकता है, जिससे सेवा बाधित हो सकती है और उपयोगकर्ताओं को नुकसान हो सकता है। चूंकि node-forge का उपयोग कई अनुप्रयोगों में किया जाता है, इसलिए इस भेद्यता का 'ब्लास्ट रेडियस' काफी बड़ा हो सकता है, जिसमें वेब सर्वर, API और अन्य सेवाएं शामिल हैं जो इस लाइब्रेरी पर निर्भर हैं। डेटा की सीधी चोरी का जोखिम नहीं है, लेकिन सेवा की अनुपलब्धता से महत्वपूर्ण व्यावसायिक संचालन प्रभावित हो सकते हैं। इस भेद्यता का फायदा उठाने के लिए हमलावर को node-forge लाइब्रेरी का उपयोग करने वाले एप्लिकेशन के साथ इंटरैक्ट करने में सक्षम होना होगा।

Applications built on Node.js that utilize the node-forge library for cryptographic operations are at risk. This includes web applications, APIs, and command-line tools. Specifically, projects that haven't been updated recently or those relying on older dependencies are particularly vulnerable.

• nodejs / server:

npm list node-forge  # Check installed version

• nodejs / server:

ps aux | grep forge # Check for processes using node-forge

• nodejs / server:

journalctl -u node -f # Monitor Node.js logs for errors related to BigInteger or modInverse

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-24
2. प्रकाशित2026-03-26
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-04

CVE-2026-33891 को ठीक करने का सबसे प्रभावी तरीका node-forge लाइब्रेरी को संस्करण 1.4.0 या उससे ऊपर के संस्करण में अपग्रेड करना है। यह संस्करण भेद्यता को ठीक करने के लिए आवश्यक सुधारों को शामिल करता है। यदि अपग्रेड तुरंत संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप इनपुट सत्यापन लागू कर सकते हैं ताकि यह सुनिश्चित किया जा सके कि BigInteger.modInverse() फ़ंक्शन को शून्य मान के साथ कभी भी कॉल न किया जाए। इनपुट सत्यापन को लागू करते समय, यह सुनिश्चित करें कि यह आपके एप्लिकेशन के सभी प्रासंगिक इनपुट बिंदुओं पर लागू किया गया है जो node-forge लाइब्रेरी का उपयोग करते हैं। अपग्रेड या कार्यarounds को लागू करने के बाद, यह सत्यापित करना महत्वपूर्ण है कि भेद्यता को सफलतापूर्वक कम किया गया है। आप यह सुनिश्चित करने के लिए परीक्षण चला सकते हैं कि BigInteger.modInverse() फ़ंक्शन को शून्य मान के साथ कॉल करने पर अब अनंत लूप नहीं होता है। इस प्रक्रिया को सावधानीपूर्वक अनुक्रमित करें, पहले परीक्षण वातावरण में अपग्रेड करें, फिर उत्पादन में लागू करें।

अंतिम अपडेट

1.4.0हाल ही में