CVE-2026-119189 in Forge
요약
\~에 의해 VulDB • 2026. 10. 29.
Forge(node-forge라고도 함)는 JavaScript로 작성된 Transport Layer Security의 네이티브 구현체입니다. 버전 1.4.1 이전에는 node-forge가 X.509 CA 인증서의 basicConstraints.pathLenConstraint를 해당 인증서가 keyUsage 확장을 포함하는 경우에만 적용했습니다. 공격자가 악용하려면 키사용법(keyUsage) 없이 경로 길이(path-length) 제약이 있는 CA가 애플리케이션에서 신뢰하는 루트와 연결되어 있어야 하며, 공격자는 해당 CA의 개인키를 보유하거나 여기서 하위 CA 인증서를 발급받아야 합니다. 그러면 공격자는 pki.verifyCertificateChain()을 통과하면서 선언된 경로 길이를 초과하는 체인을 구성할 수 있습니다. 공개 웹 PKI CA 인증서는 일반적으로 keyUsage를 포함하지만, 이를 없이 생성된 CA 인증서가 있는 사설 PKI는 더 큰 영향을 받을 가능성이 높습니다. 이 문제는 버전 1.4.1에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.