Forge (node-forge): TLS-Client-Absturz bei Handshake-Record ohne Session

Zusammenfassung

Forge (node-forge) ist eine JavaScript-Bibliothek für TLS. Vor Version 1.4.3 wirft ein forge.tls-Client bei einem Handshake-Record ohne aktive Session, etwa vor dem Aufruf von handshake() oder nach close_notify bzw. close(), einen nicht abgefangenen TypeError. Ein böswilliger Server oder ein Angreifer auf dem Netzwerkpfad kann damit einen Node.js-Prozess beenden, sofern die Anwendung die Exception nicht abfängt. Vertraulichkeit und Integrität sind nicht betroffen, und forge.tls-Server sind nicht betroffen.

Betroffen

• Forge (node-forge) Versionen vor 1.4.3

Behoben in

• Version 1.4.3

Umgehung

• Unbekannt. Das Upgrade auf 1.4.3 ist die Korrektur des Herstellers.
• Als Übergangsmassnahme begrenzt das Abfangen von Exceptions rund um connection.process() die Auswirkung (keine Herstellerempfehlung).

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gefunden (CISA KEV nicht direkt geprüft).
• Ein öffentlicher Proof of Concept liegt im Advisory-Repository vor.

Unsere Empfehlung

• Alle node-forge-Versionen in Lockfiles und SBOMs finden, einschliesslich transitiver Abhängigkeiten.
• Auf 1.4.3 aktualisieren und zuerst in der Entwicklung testen, da dasselbe Release die Prüfung von Name Constraints bei Zertifikaten ändert (GHSA-3cc4-3294-vgjf).
• Produktive Node.js-Dienste priorisieren, die forge.tls als Client nutzen und Netzwerkdaten verarbeiten.
• Geringere Priorität für Dev-Tooling und Build-Pipelines, wo sich die Auswirkung auf einen abgestürzten Prozess beschränkt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-125334 www.cve.org
• GitHub Security Advisory GHSA-j8rw-jp99-435v github.com
• OSV GHSA-j8rw-jp99-435v osv.dev
• Fix commit 2cfaeb5 github.com
• Forge release v1.4.3 github.com
• Forge changelog github.com
• Pull request #1169 Release 1.4.3 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:08.