p PatchFirst

CVE-2022-24771

CVE-2022-24771 · Improper Verification of Cryptographic Signature in node-forge

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Forge (also called `node-forge`) is a native implementation of Transport Layer Security in JavaScript. Prior to version 1.3.0, RSA PKCS#1 v1.5 signature verification code is lenient in checking the digest algorithm structure. This can allow a crafted structure that steals padding bytes and uses unchecked portion of the PKCS#1 encoded message to forge a signature when a low public exponent is being used. The issue has been addressed in `node-forge` version 1.3.0. There are currently no known workarounds.

CVSS 7.5 · Высокий · EPSS 0,8% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • forge

    Версии
    • < 1.3.0: Затронуто

    Нет опубликованного исправления

  • node-node-forge Debian:11

    Версии
    • 0.10.0~dfsg-3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.10.0~dfsg-3+deb11u1

    Обновитесь до 0.10.0~dfsg-3+deb11u1

  • node-forge npm

    Затронутые диапазоны версий
    • SEMVER: < 1.3.0

    Обновитесь до 1.3.0

  • node-node-forge Ubuntu:20.04:LTS

    Версии
    • 0.8.5~dfsg-2
    • 0.9.1~dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-node-forge Ubuntu:22.04:LTS

    Версии
    • 0.10.0~dfsg-3
    • 1.2.1~dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →