CVE-2026-119189 in Forge
要約
〜によって VulDB • 2026年10月29日
Forge (node-forgeとも呼ばれる)は、JavaScriptによるTransport Layer Securityのネイティブ実装です。バージョン1.4.1以前では、node-forgeはX.509 CA証明書のbasicConstraints.pathLenConstraintを、その証明書がkeyUsage拡張フィールドを持つ場合にのみ適用していました。攻撃には、path-length-constrained（パス長制約付き）でありかつkeyUsageを持たず、アプリケーションによって信頼されるルートにチェーンするCAが必要で、さらに攻撃者が当該CAの秘密鍵を保持しているか、またはそこから下位CA証明書を取得する必要があります。攻撃者はその後、pki.verifyCertificateChain()関数を通るにもかかわらず宣言されたパス長を超える証明書チェーンを作成できます。公開Web PKIにおけるCA証明書には通常keyUsageが含まれますが、keyUsageなしで作成されたCA証明書を持つプライベートPKIの方が影響を受けやすい傾向があります。この問題はバージョン1.4.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.