Forge heeft Denial of Service via Infinite Loop in BigInteger.modInverse() met Zero Input

Deze Denial of Service (DoS) kwetsbaarheid in de node-forge bibliotheek kan leiden tot een complete stilstand van applicaties die deze bibliotheek gebruiken. Een aanvaller kan een DoS-aanval uitvoeren door een speciaal ontworpen input met een waarde van nul te sturen naar de BigInteger.modInverse() functie. Dit triggert een oneindige lus in de interne Extended Euclidean Algorithm, waardoor de applicatie vastloopt en 100% van de CPU-bronnen verbruikt. De impact is significant omdat dit de beschikbaarheid van de applicatie volledig kan uitschakelen, waardoor gebruikers geen toegang meer hebben tot de functionaliteit die afhankelijk is van node-forge. De blast radius is afhankelijk van de omvang van de applicatie die node-forge gebruikt; een kwetsbare server kan bijvoorbeeld een hele webapplicatie platleggen. Er is geen sprake van dat data gestolen of aangepast kan worden, maar de verstoring van de dienst is aanzienlijk. Het risico is het grootst in omgevingen waar node-forge wordt gebruikt in kritieke infrastructuur of applicaties die hoge beschikbaarheid vereisen.

Applications built on Node.js that utilize the node-forge library for cryptographic operations are at risk. This includes web applications, APIs, and command-line tools. Specifically, projects that haven't been updated recently or those relying on older dependencies are particularly vulnerable.

• nodejs / server:

npm list node-forge  # Check installed version

• nodejs / server:

ps aux | grep forge # Check for processes using node-forge

• nodejs / server:

journalctl -u node -f # Monitor Node.js logs for errors related to BigInteger or modInverse

1. 2026-03-26Disclosure

   disclosure

1. Gereserveerd2026-03-24
2. Gepubliceerd2026-03-26
3. Gewijzigd2026-03-31
4. EPSS bijgewerkt2026-04-04

De aanbevolen oplossing is om de node-forge bibliotheek te upgraden naar versie 1.4.0 of hoger. Deze versie bevat een correctie voor de kwetsbaarheid. Indien een upgrade niet direct mogelijk is, kan een tijdelijke workaround bestaan uit het valideren van de input die aan de BigInteger.modInverse() functie wordt doorgegeven, en het voorkomen dat een waarde van nul wordt gebruikt. Dit vereist echter een grondige analyse van de code die node-forge gebruikt en kan leiden tot onbedoelde neveneffecten. Na het upgraden of implementeren van een workaround, is het essentieel om de applicatie grondig te testen om te verifiëren dat de kwetsbaarheid is verholpen en dat de functionaliteit correct werkt. Het is raadzaam om geautomatiseerde tests te gebruiken om de stabiliteit en prestaties van de applicatie te garanderen na de implementatie van de correctie.

Laatste update

1.4.02 maanden geleden