फोर्ज में ASN.1 अतिरिक्त फ़ील्ड के कारण RSA-PKCS में हस्ताक्षर जालसाजी है

CVE-2026-33894 एक गंभीर भेद्यता है जो forge लाइब्रेरी में RSASSA PKCS#1 v1.5 हस्ताक्षर सत्यापन प्रक्रिया को प्रभावित करती है। यह भेद्यता तब उत्पन्न होती है जब निम्न सार्वजनिक घातांक कुंजी (e=3) का उपयोग किया जाता है। एक हमलावर 'कचरा' बाइट्स को ASN संरचना के भीतर भरकर जाली हस्ताक्षर बना सकता है, जिससे हस्ताक्षर सत्यापन पास हो जाता है। यह Bleichenbacher-शैली की जालसाजी को सक्षम बनाता है, जहां हमलावर वैध हस्ताक्षर के रूप में प्रस्तुत करने के लिए डेटा को हेरफेर कर सकता है। इस भेद्यता का उपयोग करके, हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है जो हस्ताक्षर का उपयोग करके सुरक्षित है, जैसे कि वित्तीय लेनदेन, डिजिटल प्रमाणपत्र, या अन्य गोपनीय जानकारी। Blast radius व्यापक हो सकता है, क्योंकि यह उन सभी अनुप्रयोगों को प्रभावित करता है जो forge लाइब्रेरी का उपयोग RSASSA PKCS#1 v1.5 हस्ताक्षर सत्यापन के लिए करते हैं। यह भेद्यता विशेष रूप से उन प्रणालियों के लिए चिंताजनक है जो सार्वजनिक कुंजी क्रिप्टोग्राफी पर निर्भर करती हैं, क्योंकि यह हस्ताक्षर की अखंडता को खतरे में डालती है। CVE-2022-24771 के समान, यह भेद्यता ASN संरचना के भीतर एक अतिरिक्त क्षेत्र में बाइट्स जोड़ती है, जिससे बचाव करना अधिक कठिन हो जाता है। यह भेद्यता हमलावरों को हस्ताक्षर में न्यूनतम 8 बाइट्स के पैडिंग की कमी का फायदा उठाने की अनुमति देती है, जैसा कि RFC2313 में परिभाषित है, जिससे हमलावर के लिए हस्ताक्षर बनाना और भी आसान हो जाता है।

1. आरक्षित2026-03-24
2. प्रकाशित2026-03-26
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-04

CVE-2026-33894 को ठीक करने का सबसे प्रभावी तरीका forge लाइब्रेरी को संस्करण 1.4.0 या उच्चतर में अपग्रेड करना है। यह संस्करण भेद्यता को संबोधित करने के लिए आवश्यक सुधारों को शामिल करता है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, RSASSA PKCS#1 v1.5 हस्ताक्षर सत्यापन का उपयोग करने से बचें और इसके बजाय अधिक सुरक्षित हस्ताक्षर योजनाओं का उपयोग करें। यदि RSASSA PKCS#1 v1.5 का उपयोग करना अनिवार्य है, तो सुनिश्चित करें कि हस्ताक्षर में न्यूनतम 8 बाइट्स का पैडिंग शामिल है। अपग्रेड या वर्कअराउंड लागू करने से पहले, अपने सिस्टम का बैकअप लेना महत्वपूर्ण है। अपग्रेड के बाद, यह सत्यापित करना महत्वपूर्ण है कि भेद्यता को सफलतापूर्वक ठीक किया गया है। आप forge लाइब्रेरी के नवीनतम संस्करण के साथ हस्ताक्षर सत्यापन का परीक्षण करके ऐसा कर सकते हैं। यह सुनिश्चित करने के लिए कि आपका सिस्टम सुरक्षित है, नियमित रूप से सुरक्षा अपडेट लागू करना भी महत्वपूर्ण है। भेद्यता को ठीक करने के लिए, पहले forge लाइब्रेरी के संस्करण की जांच करें, फिर नवीनतम संस्करण में अपग्रेड करें। अपग्रेड के बाद, सिस्टम को पुनरारंभ करें।

अंतिम अपडेट

1.4.02 महीने पहले