JVNDB-2025-020424

JavaScript ライブラリ「Forge」における署名検証不備の脆弱性

JavaScript ライブラリ Forge (npm パッケージでは node-forge として利用可能) は TLS およびその他の様々な暗号処理の機能を提供しています。Forge にはメッセージ認証コード (MAC) データなどのフィールドについて細工された ASN.1 構造のデータを処理する際に、署名検証がバイパスされる脆弱性 (CVE-2025-12816、CWE-436) が存在します。

forge

• Forge 1.3.2 より前のバージョン

攻撃者により認証をバイパスされたり、署名済みデータを改ざんされたりする可能性があります。

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。

forge

• forge : looks like AES256_CBC works invalid or not works at all

1. 解釈の競合(CWE-436) [その他]

1. CVE-2025-12816

1. JVN : JVNVU#90064104
2. US-CERT Vulnerability Note : VU#521113

• [2025年11月28日]
    掲載