مكتبة Forge (المسماة أيضًا node-forge) هي تنفيذ أصلي لأمان طبقة النقل (Transport Layer Security) بلغة JavaScript.

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تعد Forge (المسماة أيضًا node-forge) تنفيذًا أصليًا لأمان طبقة النقل في JavaScript. قبل الإصدار 1.4.1، استخدم التنفيذ المتأثر asn1.fromDer()، وفك تشفير BIT STRING، وmaxDepth لمعالجة الإدخال ذي الصلة أو قرار الأمان. قامت node-forge بفك تشفير ASN.1 المخزن داخل قيم BIT STRING دون تطبيق حد maxDepth المُكوّن بشكل متسق، واحتفظت بنسخ متداخلة بشكل متكرر في كل مستوى من مستويات التداخل. قد تتسبب بيانات DER المصممة التي تحتوي على عناصر BIT STRING متداخلة في حدوث استدعاء عودي مفرط، واستخدام عالٍ للمعالجة (CPU)، واستهلاك تربيعي للذاكرة أثناء تنفيذ asn1.fromDer(). تم إصلاح هذه الثغرة في الإصدار 1.4.1.

المعالجة

1. أحصِ جميع نشرات Digitalbazaar Forge، بما فيها بيئات الاختبار.
2. رقِّ Digitalbazaar Forge إلى الإصدار 1.4.1.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/digitalbazaar/forge/commit/24035c181f41885ea3ec7279e6c0fcf270b6ec4b
• تصحيحhttps://github.com/digitalbazaar/forge/commit/523c8e74c28457daeff044230dce4a36313c5ab7
• تحذيرhttps://github.com/digitalbazaar/forge/security/advisories/GHSA-rhr8-3pm8-cq29
• مرجعhttps://github.com/digitalbazaar/forge/releases/tag/v1.4.1