CVE-2026-63578 in bc-csharp
Zusammenfassung
von VulDB • 02.10.2026
Die unbeschränkte Ressourcenallokation bei der entschlüsselung privater Schlüssel auf Passwortbasis (PbeUtilities.GenerateCipherParameters) in Legion of the Bouncy Castle Inc. bc-csharp vor Version 2.7.0 ermöglicht es einem Angreifer, der einen verschlüsselten privaten Schlüssel bereitstellen kann – wie z. B. eine PKCS#8 EncryptedPrivateKeyInfo- oder „ENCRYPTED PRIVATE KEY“-PEM-Datei –, durch CPU-Auslastung zu einer Denial-of-Service-Bedingung (DoS) zu führen, indem ein Iterationszähler nahe an 2^31 verwendet wird. Dies ist darauf zurückzuführen, dass der Zähler aus den nicht authentifizierten Algorithmusparametern ohne Obergrenze übernommen wird und die Key-Derivation vor der Überprüfung des Passworts oder der Daten ausgeführt wird. PKCS#5 PBES1 und PBES2 (PBKDF2), die PKCS#12-PBE-Algorithmen sowie CMS-Passwortempfänger (CmsPbeKey) sind betroffen. Das Laden von PKCS#12-Dateien mit Pkcs12Store ist durch CVE-2026-63572 abgedeckt, und ein nuller oder negativer Zähler bei den PKCS#12-Algorithmen wird durch CVE-2026-63575 behandelt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.