JVNDB-2026-008421

jsrsasign projectのjsrsasignにおける無限ループに関する脆弱性

パッケージjsrsasignのバージョン11.1.1より前のバージョンには、ext/jsbn2.js内のbnModInverse関数を介した無限ループの脆弱性があります。この脆弱性は、BigInteger.modInverseの実装がゼロまたは負の入力を受け取った場合に発生します。攻撃者は、そのような細工された値（例: modInverse(0, m)やmodInverse(-1, m)）を提供することで、プロセスを永久にハングさせることが可能です。

jsrsasign project

• jsrsasign 11.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : jsrsasign_modinverse_dos.md  GitHub

synk

• Synk Vulnerability Database : Infinite loop in jsrsasign | CVE-2026-4598 | Snyk

1. 無限ループ(CWE-835) [その他]

1. CVE-2026-4598

1. National Vulnerability Database (NVD) : CVE-2026-4598
2. 関連文書 : fix(jsbn2): prevent modInverse hangs on zero and negative inputs by Kr0emer  Pull Request #648  kjur/jsrsasign  GitHub
3. 関連文書 : Merge pull request #648 from Kr0emer/fix/bug-004-modinverse-dos  kjur/jsrsasign@ca5b027  GitHub

• [2026年03月25日]
    掲載