Forgeに、ゼロ入力時のBigInteger.modInverse()における無限ループによるサービス拒否の脆弱性

node-forgeライブラリのBigInteger.modInverse()関数（バンドルされたjsbnライブラリから継承）における無限ループが原因で、サービス拒否（DoS）攻撃が発生する可能性があります。攻撃者は、modInverse()関数にゼロ値を入力することで、内部の拡張ユークリッドアルゴリズムが到達不能な終了条件に入り、プロセスが無限にハングアップし、CPU使用率が100%になる状況を引き起こすことができます。この攻撃は、node-forgeライブラリを使用しているアプリケーションの可用性に直接影響を与え、アプリケーションの応答を停止させます。特に、暗号処理や数学的計算を頻繁に行うアプリケーションでは、この脆弱性が悪用されると、サービス全体が停止する可能性があります。攻撃者は、悪意のある入力データを作成し、node-forgeライブラリを使用するアプリケーションに送信することで、DoS攻撃を実行できます。データやアクセスそのものが直接危険にさらされるわけではありませんが、アプリケーションの利用不能により、間接的にビジネスへの影響、顧客への不便、さらには機密情報の漏洩につながる可能性があります。影響範囲は、node-forgeライブラリを使用しているアプリケーションの規模と重要度によって大きく異なります。

Applications built on Node.js that utilize the node-forge library for cryptographic operations are at risk. This includes web applications, APIs, and command-line tools. Specifically, projects that haven't been updated recently or those relying on older dependencies are particularly vulnerable.

• nodejs / server:

npm list node-forge  # Check installed version

• nodejs / server:

ps aux | grep forge # Check for processes using node-forge

• nodejs / server:

journalctl -u node -f # Monitor Node.js logs for errors related to BigInteger or modInverse

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-03-26
3. 更新日2026-03-31
4. EPSS 更新日2026-04-04

この脆弱性に対処するには、node-forgeライブラリをバージョン1.4.0以降にアップグレードすることを強く推奨します。バージョン1.4.0では、この脆弱性が修正されています。アップグレードが直ちに実行できない場合は、modInverse()関数を呼び出す前に、入力値がゼロでないことを確認する入力検証を追加することで、一時的な回避策を講じることができます。ただし、この回避策は完全な保護を提供するものではなく、アップグレードを優先的に行うべきです。アップグレード後、アプリケーションを再起動し、modInverse()関数を使用してゼロ値を入力した場合に、プロセスがハングアップしないことを確認するテストを実施してください。テストは、さまざまな入力値を使用して、脆弱性が完全に修正されていることを確認するために重要です。また、node-forgeライブラリの依存関係を定期的に確認し、最新のセキュリティパッチを適用することを推奨します。