CVE-2026-63575 in bc-csharp
Zusammenfassung
von VulDB • 02.10.2026
Eine Endlosschleife mit nicht erreichbarer Abbruchbedingung in der PKCS#12-Schlüsselableitung (Pkcs12ParametersGenerator) von Legion of the Bouncy Castle Inc. bc-csharp vor Version 2.7.0 ermöglicht es einem Angreifer, der eine PKCS#12-(PFX)-Datei oder einen PKCS#8-verschlüsselten privaten Schlüssel bereitstellen kann, der ein auf dem Passwort basierenden Verschlüsselungsalgorithmus von PKCS#12 verwendet, durch CPU-Erschöpfung aufgrund einer Iterationsanzahl von null oder weniger zu einem Denial of Service (DoS) zu führen. Dies geschieht, weil die Ableitungsschleife lief, bis ihr Zähler der Anzahl entsprach; bei einer solchen Anzahl wurde also etwa 2^32 Iterationen durchlaufen, bevor die MAC-Prüfung oder das Passwort überprüft werden konnte. Eine PFX-Datei mit einer Länge von 75 Byte und einem negativen MacData-Iterationszählwert hielt Pkcs12Store.Load über viele Minuten lang beschäftigt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.