node-forge: TLS-Client-Absturz bei nicht unterstützter ServerHello-Kompressionsmethode

Zusammenfassung

Forge (node-forge) ist eine TLS-Implementierung in JavaScript. Vor Version 1.4.3 akzeptiert ein forge.tls-Client eine ServerHello-Kompressionsmethode, die er nicht angeboten hat, und wirft danach während des Handshakes einen nicht abgefangenen Fehler. Ein böswilliger Server oder ein Angreifer auf dem Übertragungsweg kann so einen Node.js-Prozess beenden, der die Ausnahme nicht abfängt. Betroffen sind Client-Pfade wie forge.tls, forge.tls.wrapSocket und forge.http; forge.tls-Server sind nicht betroffen, und es gibt keine Auswirkungen auf Vertraulichkeit oder Integrität.

Betroffen

• node-forge (forge) Versionen vor 1.4.3
• Nur Node.js-Anwendungen, die als TLS-Client agieren (forge.tls, forge.tls.wrapSocket, forge.http)
• forge.tls-Server sind nicht betroffen

Behoben in

• Version 1.4.3

Umgehung

• Unbekannt.
• Falls das Update verzögert wird, sicherstellen, dass die Anwendung Ausnahmen beim Aufruf der TLS-Verarbeitung abfängt, damit eine unerwartete Handshake-Nachricht den Node.js-Prozess nicht beenden kann.

Ausnutzung

• Keine öffentliche Ausnutzung oder Ausnutzung in freier Wildbahn bekannt.
• Der Proof of Concept des Meldenden liegt im Testverzeichnis des Upstream-Projekts; er wurde hier nicht reproduziert.

Unsere Empfehlung

• node-forge im Rahmen der regulären Abhängigkeitsaktualisierungen auf Version 1.4.3 aktualisieren; dieselbe Version enthält auch eine Korrektur mit HIGH-Schweregrad für X.509 Name Constraints (GHSA-3cc4-3294-vgjf).
• Das Update vor dem Rollout testen, da es die Validierung von Zertifikatsketten und die TLS-Verarbeitung verändert.
• Produktive Node.js-Dienste, die forge als TLS-Client verwenden, prüfen und sicherstellen, dass Fehler bei der TLS-Verarbeitung abgefangen werden.
• In eigenen Projekten prüfen, ob node-forge eine Laufzeit- oder nur eine Entwicklungsabhängigkeit ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 1d9816d github.com
• Release 1.4.3 pull request github.com
• Forge v1.4.3 release github.com
• GitHub Security Advisory GHSA-w4xr-hqv8-ch44 github.com
• OSV GHSA-w4xr-hqv8-ch44 osv.dev
• Forge CHANGELOG github.com
• GitLab advisory CVE-2026-125332 advisories.gitlab.com
• NPM package node-forge www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:10.