🇰🇷 한글 설명
Forge(node-forge)는 JavaScript로 구현된 TLS 라이브러리입니다. 1.4.1 이전 버전에서는 asn1.fromDer() 처리 중 BIT STRING 내부의 ASN.1 데이터에 maxDepth 제한이 일관되게 적용되지 않아, 조작된 DER 입력으로 과도한 재귀, CPU 사용량 증가 및 이차적 메모리 소비가 발생할 수 있습니다. 이 문제는 1.4.1 버전에서 수정되었습니다.
💡 쉬운 설명
node-forge라는 인증서·암호화 처리 라이브러리에서, 특수하게 만든 데이터를 처리할 때 컴퓨터가 과도하게 느려지거나 메모리를 많이 쓰는 문제가 있습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the affected implementation used asn1.fromDer(), BIT STRING decoding, maxDepth to process the relevant input or security decision. node-forge decoded ASN.1 stored inside BIT STRING values without consistently applying the configured maxDepth limit and recursively retained copies at each nesting level. Crafted DER containing nested BIT STRINGs could cause excessive recursion, CPU use, and quadratic memory consumption during asn1.fromDer(). This issue is fixed in version 1.4.1.
📍 영향받는 시스템
node-forge 1.4.1 미만 버전을 사용하는 Node.js 등 JavaScript 애플리케이션
⚔️ 공격 벡터
중첩된 BIT STRING을 포함한 조작된 DER 데이터를 asn1.fromDer()로 처리하게 하여 서비스 거부(CPU/메모리 고갈)를 유발
🛡️ 대응 방법
node-forge를 1.4.1 이상 버전으로 업그레이드(npm update node-forge 또는 의존성 버전 고정 확인)
🔧 검증 코드
출력된 node-forge 버전이 1.4.1 미만이면 취약하므로 업그레이드가 필요하고, 1.4.1 이상이면 패치된 것입니다(출력이 없으면 해당 프로젝트에 미설치).
npm ls node-forge 2>/dev/null | grep -E 'node-forge@'