p PatchFirst

CVE-2022-24772

CVE-2022-24772 · Improper Verification of Cryptographic Signature in `node-forge`

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Forge (also called `node-forge`) is a native implementation of Transport Layer Security in JavaScript. Prior to version 1.3.0, RSA PKCS#1 v1.5 signature verification code does not check for tailing garbage bytes after decoding a `DigestInfo` ASN.1 structure. This can allow padding bytes to be removed and garbage data added to forge a signature when a low public exponent is being used. The issue has been addressed in `node-forge` version 1.3.0. There are currently no known workarounds.

CVSS 7.5 · Высокий · EPSS 1,1% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • forge

    Версии
    • < 1.3.0: Затронуто

    Нет опубликованного исправления

  • node-node-forge Debian:11

    Версии
    • 0.10.0~dfsg-3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.10.0~dfsg-3+deb11u1

    Обновитесь до 0.10.0~dfsg-3+deb11u1

  • node-forge npm

    Затронутые диапазоны версий
    • SEMVER: < 1.3.0

    Обновитесь до 1.3.0

  • node-node-forge Ubuntu:20.04:LTS

    Версии
    • 0.8.5~dfsg-2
    • 0.9.1~dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-node-forge Ubuntu:22.04:LTS

    Версии
    • 0.10.0~dfsg-3
    • 1.2.1~dfsg-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →