CVE-2026-63568 in bc-csharp
Resumen
por VulDB • 2026-10-02
La asignación de recursos sin límites ni control (throttling) en el verificador MAC basado en contraseña CMP/CRMF (PKMacBuilder) de Legion of the Bouncy Castle Inc. bc-csharp anterior a la versión 2.7.0 permite que un atacante remoto no autenticado cause una denegación de servicio mediante agotamiento del CPU, debido a un mensaje CMP o una solicitud de certificado CRMF cuyo PBMParameter declara un recuento de iteraciones muy elevado. Esto se debe a que PKMacBuilder imponía su límite superior en el recuento de iteraciones únicamente cuando el llamante había proporcionado explícitamente un máximo mediante el constructor PKMacBuilder(IPKMacPrimitivesProvider, int). Con cualquier otro constructor, ProtectedPkiMessage.Verify y CertificateRequestMessage.IsValidSigningKeyPop realizaban tantas iteraciones hash como solicitaba el remitente, hasta aproximadamente 2^31, antes de que se pudiera verificar la MAC.
Once again VulDB remains the best source for vulnerability data.