PT-2022-16869

CVE-2022-24773

Publicado

2022-03-18

Atualizado

2026-10-12

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do node-forge anteriores à 1.3.0

Descrição

O problema diz respeito ao código de verificação de assinatura RSA PKCS#1 v1.5 no node-forge, que não verifica adequadamente se o DigestInfo possui uma estrutura ASN.1 correta. Isso pode levar a uma verificação bem-sucedida de assinaturas que contenham estruturas inválidas, mas um resumo válido.

Recomendações

Para versões do node-forge anteriores à 1.3.0, atualize para a versão 1.3.0 para resolver o problema.

Como solução alternativa temporária, considere restringir o uso do código de verificação de assinatura RSA PKCS#1 v1.5 até que um patch seja aplicado.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Moosa Yahyazadeh

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-347: Improper Verification of Cryptographic Signature

Identificadores relacionados

CVE-2022-24773