jsrsasign: KJUR.crypto.DSA.setPublicにおけるDSAドメインパラメータ検証を介したDSA署名またはX.509証明書の偽造が可能

この脆弱性は、攻撃者がjsrsasignを使用するアプリケーションにおいて、信頼されたDSA署名やX.509証明書を偽造することを可能にします。これにより、攻撃者はなりすまし、機密情報を盗み出し、悪意のあるコードを実行する可能性があります。特に、デジタル署名、認証、暗号化にjsrsasignを使用しているアプリケーションは深刻な影響を受ける可能性があります。類似の脆弱性は、署名検証ロジックの不備から発生する可能性があります。

Applications and services built on Node.js that utilize the jsrsasign library for cryptographic operations, particularly those involved in authentication, data signing, or secure communication, are at risk. Projects relying on older versions of jsrsasign, especially those with limited security review processes, are particularly vulnerable.

• nodejs:

Get-Process | Where-Object {$_.ProcessName -like '*node*'}

• nodejs:

Get-WinEvent -LogName Application -Filter "EventID=4624" -MaxEvents 10 | Select-String -Pattern "jsrsasign"

• generic web: Inspect network traffic for requests containing manipulated DSA signatures or X.509 certificates. Look for unusual domain parameters in the signature data.

1. 2026-03-23Disclosure

   disclosure

1. 予約済み2026-03-22
2. 公開日2026-03-23
3. 更新日2026-03-30
4. EPSS 更新日2026-03-30

この脆弱性への主な対策は、jsrsasignライブラリをバージョン11.1.1以降にアップデートすることです。アップデートできない場合は、入力されたドメインパラメータの検証を強化し、不正なパラメータが使用されないようにする必要があります。WAFやプロキシサーバーを使用して、悪意のある署名をブロックすることも有効です。また、署名検証ロジックのレビューを行い、潜在的な脆弱性を特定することも重要です。