🇰🇷 한글 설명
Forge(node-forge)는 JavaScript로 구현된 TLS 라이브러리입니다. 1.4.1 이전 버전에서는 pki.verifyCertificateChain() 수행 중 동일한 subject 이름을 가진 인증서를 시도하면서 CA 저장소(store)가 변경될 수 있습니다. 체인 검증이 실패하면 신뢰된 CA 인증서가 저장소에서 영구적으로 제거되어, 이후 정상적인 인증서 체인 검증도 실패하게 됩니다.
💡 쉬운 설명
인증서 검증 과정에서 신뢰할 수 있는 인증기관 정보가 실수로 지워질 수 있는 문제입니다. 이로 인해 이후 정상적인 보안 연결도 계속 실패하는 서비스 중단이 발생할 수 있습니다.
🇺🇸 원문 (English)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used pki.verifyCertificateChain(), pki.createCaStore(), duplicate subject names to process the relevant input or security decision. node-forge modified the CA store while trying certificates that shared a subject name during pki.verifyCertificateChain(). A failed chain verification could permanently remove trusted CA certificates from the store, causing later valid chains to fail and creating a persistent availability impact for applications that reused the store. This issue is fixed in version 1.4.1.
📍 영향받는 시스템
node-forge 1.4.1 미만 버전을 사용하는 Node.js/JavaScript 애플리케이션 (CA 저장소를 재사용하는 환경)
⚔️ 공격 벡터
공격자가 동일한 subject 이름을 가진 조작된 인증서 체인을 전송하여 검증 과정에서 CA 저장소의 신뢰 인증서를 제거하도록 유도 (가용성 공격)
🛡️ 대응 방법
node-forge를 1.4.1 이상 버전으로 업그레이드 (npm update node-forge 또는 package.json 수정 후 재설치)
🔧 검증 코드
출력된 버전이 1.4.1 미만이면 취약하며, 1.4.1 이상이면 패치된 상태입니다. 출력이 없으면 해당 패키지를 사용하지 않는 것입니다.
npm ls node-forge 2>/dev/null | grep node-forge