Forge tem uma falha de bypass de basicConstraints na sua verificação da cadeia de certificados (violação RFC 5280)

A vulnerabilidade CVE-2026-33896 no forge permite que certificados folha sem as extensões basicConstraints e keyUsage atuem como Autoridades de Certificação (ACs). A função pki.verifyCertificateChain() não aplica os requisitos básicos de restrição do RFC 5280 quando um certificado intermediário carece dessas extensões. Isso significa que um certificado folha, mesmo que não seja destinado a ser uma AC, pode assinar outros certificados, e o node-forge os aceitará como válidos. Isso compromete a integridade da cadeia de confiança e pode permitir ataques de intermediário (man-in-the-middle) ou a criação de certificados falsos.

Applications built on Node.js that rely on node-forge for certificate validation are at risk. This includes applications handling TLS connections, verifying digital signatures, or performing other certificate-based authentication. Specifically, applications that accept certificates from untrusted sources or have weak certificate validation policies are particularly vulnerable.

• nodejs:

Get-Process | Where-Object {$_.ProcessName -match 'node'}

• nodejs: Check for node-forge versions prior to 1.4.0 using npm list node-forge. • nodejs: Review application code for calls to pki.verifyCertificateChain() and assess the context of certificate validation. • generic web: Monitor server logs for errors related to certificate validation or unexpected certificate chains.

1. 2026-03-26Disclosure

   disclosure

1. Reservado2026-03-24
2. Publicada2026-03-26
3. Modificada2026-03-31
4. EPSS atualizado2026-04-04

A solução é atualizar para a versão 1.4.0 ou superior do forge. Esta versão corrige a vulnerabilidade aplicando corretamente as restrições básicas do RFC 5280. Se não for possível atualizar imediatamente, recomenda-se revisar cuidadosamente todos os certificados usados em sua aplicação e garantir que os certificados intermediários tenham as extensões basicConstraints e keyUsage configuradas corretamente. Além disso, considere implementar validações adicionais em sua aplicação para verificar a validade dos certificados antes de confiar neles.

Última atualização

1.4.0há 2 meses