Kerentanan dalam paket ‘node-forge’, pustaka kriptografi JavaScript yang populer, dapat dieksploitasi untuk melewati verifikasi tanda tangan dengan membuat data yang tampak valid.
Cacat tersebut dilacak sebagai CVE-2025-12816 dan mendapat peringkat tingkat keparahan tinggi. Hal ini muncul dari mekanisme validasi ASN.1 perpustakaan, yang memungkinkan data yang cacat lolos pemeriksaan meskipun secara kriptografis tidak valid.
“Kerentanan konflik interpretasi pada node-forge versi 1.3.1 dan yang lebih lama memungkinkan penyerang yang tidak diautentikasi membuat struktur ASN.1 untuk melakukan desinkronisasi validasi skema, menghasilkan perbedaan semantik yang dapat melewati verifikasi kriptografi hilir dan keputusan keamanan,” demikian bunyi kelemahan tersebut. keterangan di Database Kerentanan Nasional (NVD).
Hunter Wodzenski dari Palo Alto Networks menemukan kelemahan tersebut dan melaporkannya secara bertanggung jawab kepada pengembang node-forge.
Peneliti memperingatkan bahwa aplikasi yang mengandalkan node-forge untuk menegakkan struktur dan integritas protokol kriptografi yang diturunkan dari ASN.1 dapat ditipu untuk memvalidasi data yang salah format, dan memberikan bukti konsep yang menunjukkan bagaimana muatan palsu dapat mengelabui mekanisme verifikasi.
Penasihat keamanan dari Carnegie Mellon CERT-CC menjelaskan bahwa dampaknya berbeda-beda untuk setiap aplikasi, dan mungkin mencakup pengabaian autentikasi, gangguan data yang ditandatangani, dan penyalahgunaan fungsi terkait sertifikat.
“Dalam lingkungan di mana verifikasi kriptografi memainkan peran penting dalam keputusan kepercayaan, potensi dampaknya bisa signifikan,” CERT-CC memperingatkan.
Dampaknya mungkin signifikan mengingat node-forge sangat populer di kalangan masyarakat 26 juta unduhan mingguan pada registri Node Package Manager (NPM).
Pustaka ini digunakan oleh proyek yang memerlukan fungsionalitas kriptografi dan infrastruktur kunci publik (PKI) di lingkungan JavaScript.
Perbaikan telah dirilis hari ini di versi 1.3.2. Pengembang yang menggunakan node-forge disarankan untuk beralih ke varian terbaru sesegera mungkin.
Kelemahan dalam proyek sumber terbuka yang banyak digunakan dapat bertahan dalam jangka waktu yang lama setelah pengungkapan publik dan ketersediaan tambalan. Hal ini mungkin terjadi karena berbagai alasan, kompleksitas lingkungan dan kebutuhan untuk menguji kode baru adalah beberapa di antaranya.
Lembar Cheat Keamanan Rahasia: Dari Sprawl hingga Control
Baik Anda membersihkan kunci lama atau menyetel pagar pembatas untuk kode yang dihasilkan AI, panduan ini membantu tim Anda membangun dengan aman sejak awal.
Dapatkan lembar contekan dan hilangkan dugaan tentang manajemen rahasia.
