概述

CVE-2025-66031 - node-forge ASN.1 无限递归漏洞

漏洞描述

Forge（也称为node-forge）是JavaScript中传输层安全协议的原生实现。在node-forge 1.3.1及以下版本中存在一个不受控递归漏洞，远程未经身份验证的攻击者能够构造深度ASN.1结构，触发无限递归解析。在解析不受信任的DER输入时，这会导致堆栈耗尽，从而造成拒绝服务攻击。该问题已在1.3.2版本中修复。

漏洞详情

发布时间：2025年11月26日 23:15
最后修改：2025年11月26日 23:15
远程利用：是
来源：security-advisories@github.com

受影响产品

目前尚未记录受影响的具体产品

CVSS评分

评分：8.7
版本：CVSS 4.0
严重程度：高危
来源：security-advisories@github.com

解决方案

• 将node-forge更新到1.3.2或更高版本以修复深度ASN.1结构解析问题
• 避免解析不受信任的DER输入

参考链接

• https://github.com/digitalbazaar/forge/commit/260425c6167a38aae038697132483b5517b26451
• https://github.com/digitalbazaar/forge/security/advisories/GHSA-554w-wpv2-vw27

CWE分类

CWE-674：不受控递归

CAPEC攻击模式

• CAPEC-230：带有嵌套负载的序列化数据
• CAPEC-231：过大的序列化数据负载

漏洞时间线

2025年11月26日：收到来自security-advisories@github.com的新CVE报告

变更记录：

• 添加漏洞描述
• 添加CVSS 4.0评分
• 添加CWE分类
• 添加参考链接

攻击类型

拒绝服务攻击