CVE-2026-118774 in Forge
요약
\~에 의해 VulDB • 2026. 10. 29.
Forge(node-forge라고도 함)는 JavaScript로 구현된 Transport Layer Security의 네이티브 구현체입니다. 버전 1.4.1 이전에는 해당 구현체가 관련 입력 처리 또는 보안 결정을 위해 certificate.verify(child), _verifySignature(), lib/x509.js를 사용했습니다. node-forge는 서명 검증 대상인 하위 인증서 대신 발급자(issuer) 인증서에서 RSA 패딩 및 RSASSA-PSS 매개변수를 선택했습니다. 따라서 발급자가 PKCS#1 v1.5를 사용한 경우, RSASSA-PSS로 표시된 하위 인증서가 PKCS#1 v1.5 서명과 함께 수락될 수 있었습니다. 서명은 여전히 신뢰할 수 있는 발급자의 개인 키로 생성되어야 했으므로 이 결함으로 인해 인증서 신원 위조가 가능하지는 않았지만, 선언된 서명 알고리즘을 요구하는 정책을 우회할 수는 있었습니다. 이 문제는 버전 1.4.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.