🇰🇷 한글 설명
Forge(node-forge)는 JavaScript로 구현된 TLS 라이브러리입니다. 1.4.1 이전 버전에서는 asn1.oidToDer()가 OID의 처음 두 아크(arc)에 대한 범위 검사를 수행하지 않았습니다. 따라서 검증된 OID 문자열을 인코딩할 때 검사한 OID와 다른, 신뢰된 OID의 DER이 생성될 수 있습니다. DER 파싱 기능은 영향을 받지 않습니다.
💡 쉬운 설명
node-forge 라이브러리가 특정 식별자(OID)를 변환할 때 잘못된 값을 만들 수 있는 문제입니다. 공격자가 검사를 통과한 값 대신 다른 신뢰된 식별자로 바뀌는 결과를 만들어낼 수 있습니다.
🇺🇸 원문 (English)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, asn1.oidToDer() in lib/asn1.js did not range-check the first two arcs of an OID. An application that accepted an untrusted OID string, checked or authorized that string, and then encoded it with asn1.oidToDer() could emit DER representing a different, trusted OID from the one that was checked. DER parsing is not affected. This issue is fixed in version 1.4.1.
📍 영향받는 시스템
node-forge 1.4.1 미만 버전을 사용하며 신뢰할 수 없는 OID 문자열을 asn1.oidToDer()로 인코딩하는 애플리케이션
⚔️ 공격 벡터
공격자가 조작된 OID 문자열을 입력해 애플리케이션의 검사를 통과한 뒤, 인코딩 과정에서 다른 신뢰된 OID의 DER로 변환되도록 유도
🛡️ 대응 방법
node-forge를 1.4.1 이상으로 업그레이드 (npm update node-forge 또는 npm install node-forge@^1.4.1)
🔧 검증 코드
출력된 node-forge 버전이 1.4.1 미만이면 취약하므로 업그레이드가 필요하며, 1.4.1 이상이면 패치가 적용된 것입니다. 출력이 없으면 프로젝트에 해당 패키지가 없는 것입니다.
npm ls node-forge 2>/dev/null | grep node-forge