jsrsasign: DSA署名時の暗号学的検証の欠如により、秘密鍵の抽出が可能になる

この脆弱性は、攻撃者がjsrsasignライブラリを使用するアプリケーションのDSA秘密鍵を復元することを可能にします。秘密鍵が漏洩すると、攻撃者は署名されたデータのなりすまし、機密データの盗難、さらにはアプリケーション全体の制御権の奪取といった攻撃を実行できる可能性があります。特に、デジタル署名や暗号化にjsrsasignを使用しているWebアプリケーションやNode.js環境において、重大な影響が想定されます。この脆弱性の悪用は、機密情報の漏洩やシステムの完全な侵害につながる可能性があります。

Applications and services utilizing the jsrsasign library for DSA-based cryptographic operations are at risk. This includes Node.js applications, web servers, and any system relying on jsrsasign for secure communication or data protection. Specifically, applications that handle sensitive data like financial transactions or authentication tokens are at higher risk.

• nodejs:

  npm list jsrsasign

Check the installed version. If it's less than 11.1.1, the system is vulnerable. • nodejs:

  find / -name "jsrsasign*" -type d -print

Locate jsrsasign directories to identify potential installation locations and versions. • generic web: Inspect application code for usage of KJUR.crypto.DSA.signWithMessageHash. Review input validation routines related to DSA signatures.

1. 2026-03-23Disclosure

   disclosure

1. 予約済み2026-03-22
2. 公開日2026-03-23
3. 更新日2026-03-29
4. EPSS 更新日2026-03-30

この脆弱性への最良の対応は、jsrsasignライブラリをバージョン11.1.1にアップデートすることです。アップデートがすぐに適用できない場合は、DSA署名を使用する機能を一時的に無効化するか、より安全な署名アルゴリズムへの移行を検討してください。また、WAF（Web Application Firewall）を導入し、異常な署名リクエストを検知・ブロックするルールを設定することも有効です。jsrsasignのバージョン確認は、npm list jsrsasignコマンドで確認できます。