概述
CVE-2025-66031是一个在node-forge库中发现的ASN.1无限递归漏洞，CVSS 4.0评分为8.7分，属于高危漏洞。
漏洞描述
Forge（也称为node-forge）是一个用JavaScript实现的传输层安全原生实现。在node-forge 1.3.1及以下版本中存在不受控递归漏洞，远程未认证攻击者能够构造深度ASN.1结构，触发无限递归解析。在解析不受信任的DER输入时，这会导致栈耗尽，从而造成拒绝服务（DoS）。该问题已在版本1.3.2中修复。
漏洞时间线
- 发布日期：2025年11月26日 23:15
- 最后修改：2025年11月26日 23:15
- 远程利用：是
- 来源：security-advisories@github.com
受影响产品
| ID | 厂商 | 产品 | 操作 |
|---|---|---|---|
| 1 | Digitalbazaar | forge |
总计受影响厂商：1 | 产品：1
CVSS评分
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 8.7 | CVSS 4.0 | 高危 | security-advisories@github.com |
解决方案
- 将node-forge更新到版本1.3.2或更高版本，修复深度ASN.1结构解析问题
- 避免解析不受信任的DER输入
参考链接
CWE - 通用弱点枚举
CWE-674：不受控递归
通用攻击模式枚举和分类（CAPEC）
- CAPEC-230：带有嵌套负载的序列化数据
- CAPEC-231：过大的序列化数据负载
漏洞历史记录
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | Forge（也称为node-forge）是一个用JavaScript实现的传输层安全原生实现... | |
| 添加 | CVSS V4.0 | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | |
| 添加 | CWE | CWE-674 | |
| 添加 | 参考 | github.com/digitalbaza… | |
| 添加 | 参考 | github.com/digitalbaza… |
新CVE接收：由security-advisories@github.com于2025年11月26日
