Forge (node-forge): Regular Expression Denial of Service im Trimmen von forge.http-Headern
Zusammenfassung
Das Modul forge.http der JavaScript-Bibliothek Forge (node-forge) für TLS und Kryptografie verwendet einen regulären Ausdruck mit quadratischer Laufzeit, um Header-Werte von Antworten sowie Cookie-Namen und -Werte zu trimmen. Ein böswilliger Server oder ein Angreifer auf dem Netzwerkpfad kann eine Antwort mit einer langen Folge von Leerzeichen gefolgt von einem Nicht-Leerzeichen senden, wodurch der Event Loop von Node.js oder der Browser-Tab minutenlang blockiert wird. Nur Anwendungen, die forge.http mit einem Socket-Pool für die Kommunikation mit einem nicht vertrauenswürdigen Server verwenden, sind betroffen; die Schwachstelle hat keine Auswirkungen auf Vertraulichkeit oder Integrität.
Betroffen
- Forge (node-forge) ab 0.1.2 bis vor 1.4.3
- Nur Anwendungen, die forge.http mit einem Socket-Pool gegen nicht vertrauenswürdige Server verwenden
Behoben in
- Aktualisierung auf Version 1.4.3 oder neuer
Umgehung
- Unbekannt. Der Hersteller beschreibt keine Massnahme; die Begrenzung der Header-Grösse in den Handlern des Socket-Pools ist ein Vorschlag eines Drittanbieters.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Alle Installationen von node-forge mit npm ls node-forge oder einem Lockfile-Scan ermitteln, einschliesslich transitiver Abhängigkeiten.
- Prüfen, ob Anwendungscode forge.http importiert; falls ja, das Update priorisieren.
- Auf 1.4.3 aktualisieren und zuerst Zertifikatsprüfung und TLS-Pfade testen, da dieses Release auch das Verhalten von X.509 nameConstraints ändert und weitere Probleme behebt.
- Die Priorität ist für die meisten KMU niedrig bis mittel; das Update im Rahmen der regulären Abhängigkeitspflege planen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 326a4d0 (GitHub) github.com
- Release 1.4.3 pull request (GitHub) github.com
- Release v1.4.3 (GitHub) github.com
- GitHub Security Advisory GHSA-6cv4-p8m7-4r25 github.com
- OSV entry GHSA-6cv4-p8m7-4r25 osv.dev
- GitLab Advisory CVE-2026-125333 advisories.gitlab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:11.
Referenzen der NVD (5)
- https://github.com/digitalbazaar/forge/commit/326a4d0903ee46358bc849a5c3fd96d9c21489bd
- https://github.com/digitalbazaar/forge/pull/1169
- https://github.com/digitalbazaar/forge/releases/tag/v1.4.3
- https://github.com/digitalbazaar/forge/security/advisories/GHSA-6cv4-p8m7-4r25
- https://github.com/digitalbazaar/forge/security/advisories/GHSA-6cv4-p8m7-4r25
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.