फोर्ज में Ed25519 में हस्ताक्षर जालसाजी है क्योंकि S > L जाँच गायब है

CVE-2026-33895 'forge' लाइब्रेरी में नकली, गैर-मानक Ed25519 हस्ताक्षर को सत्यापित करने की अनुमति देता है। विशेष रूप से, लाइब्रेरी ऐसे हस्ताक्षर स्वीकार करती है जहां स्केलर 'S' समूह के क्रम से कम नहीं किया जाता है (S >= L)। इसका मतलब है कि एक वैध हस्ताक्षर और इसका 'S + L' भिन्नता दोनों को वैध के रूप में स्वीकार किया जाता है, जो RFC8032 विनिर्देशों का उल्लंघन है। इस हस्ताक्षर परिवर्तनशीलता भेद्यता का उपयोग पहले से ही प्रमाणीकरण और प्राधिकरण तंत्र को बायपास करने के लिए किया गया है। CVSS गंभीरता 7.5 है, जो एक महत्वपूर्ण जोखिम का संकेत देती है। 'forge' लाइब्रेरी के 1.4.0 से पहले के संस्करण प्रभावित हैं।

Applications and services relying on node-forge for Ed25519 signature verification are at risk. This includes Node.js applications using node-forge directly or indirectly through dependencies. Specifically, systems with older, unpatched versions of node-forge are vulnerable, and those relying on node-forge for critical authentication or authorization processes face the highest risk.

• nodejs / supply-chain:

Get-Process | Where-Object {$_.ProcessName -match 'node'}

• nodejs / supply-chain:

Get-WinEvent -LogName Application -Filter "EventID=4688 -ProviderName 'Microsoft-Windows-Sysmon/Operational' -MessageText '*node-forge*'"

• generic web:

curl -I https://your-application.com/api/verify-signature | grep 'Signature:'

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-24
2. प्रकाशित2026-03-26
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-04

अनुशंसित समाधान 'forge' लाइब्रेरी को संस्करण 1.4.0 या उच्चतर में अपडेट करना है। यह संस्करण 'S' स्केलर के उचित सत्यापन को लागू करके भेद्यता को ठीक करता है ताकि यह सुनिश्चित किया जा सके कि यह समूह के क्रम से कम है। यदि तुरंत अपडेट करना संभव नहीं है, तो 'forge' लाइब्रेरी द्वारा उत्पन्न या सत्यापित Ed25519 हस्ताक्षरों पर निर्भर प्रमाणीकरण और प्राधिकरण तंत्र की समीक्षा करें और उन्हें मजबूत करें। प्रभावित प्रणालियों पर इस भेद्यता के प्रभाव का आकलन करना और तदनुसार अपडेट या शमन को प्राथमिकता देना महत्वपूर्ण है। सुरक्षा लॉग की निगरानी शोषण प्रयासों का पता लगाने में मदद कर सकती है।

अंतिम अपडेट

1.4.0हाल ही में