jsrsasign: 不完全な比較により、DSA秘密鍵がバイアスのかかったnonce生成を介して復元される

この脆弱性は、攻撃者がjsrsasignライブラリを使用するアプリケーションの秘密鍵を復元することを可能にします。秘密鍵が漏洩した場合、攻撃者はその鍵を使用して、アプリケーションが保護するデータへの不正アクセス、改ざん、またはなりすまし攻撃を実行する可能性があります。特に、デジタル署名、暗号化通信、認証などのセキュリティ機能に依存するアプリケーションは、深刻な影響を受ける可能性があります。この脆弱性の悪用は、機密情報の漏洩、システムの完全性の侵害、およびサービス拒否につながる可能性があります。攻撃者は、この脆弱性を利用して、機密データを盗み出し、不正なトランザクションを実行し、システムを完全に制御する可能性があります。

Applications and services built on Node.js that utilize the jsrsasign library for digital signature generation, particularly those relying on DSA signatures, are at risk. This includes web applications, command-line tools, and backend services that process sensitive data requiring cryptographic protection. Projects using older versions of jsrsasign in production environments are particularly vulnerable.

• nodejs / server:

  npm list jsrsasign
  # Check version.  If < 11.1.1, upgrade immediately.

• generic web:

  curl -I <your_application_url>
  # Check for any unusual headers or responses related to signature generation.

1. 2026-03-23Disclosure

   disclosure

1. 予約済み2026-03-22
2. 公開日2026-03-23
3. 更新日2026-03-30
4. EPSS 更新日2026-03-30

この脆弱性への対応策として、jsrsasignライブラリをバージョン11.1.1以降にアップデートすることを強く推奨します。アップデートできない場合は、影響を受けるアプリケーションの入力を厳密に検証し、不正なデータが処理されないようにする必要があります。また、WAF（Web Application Firewall）を導入し、悪意のあるリクエストをブロックすることも有効です。jsrsasignを使用するアプリケーションのセキュリティ設定を見直し、最小限の権限で実行するように構成することも重要です。さらに、DSA署名を使用する代わりに、より安全な署名アルゴリズムを使用することを検討してください。