CVE-2026-63578 in bc-csharp
Resumen
por VulDB • 2026-10-02
La asignación de recursos sin límites en la descifrado de claves privadas basadas en contraseña (PbeUtilities.GenerateCipherParameters) en Legion of the Bouncy Castle Inc. bc-csharp anterior a 2.7.0 permite que un atacante, capaz de proporcionar una clave privada cifrada, como PKCS#8 EncryptedPrivateKeyInfo o un archivo PEM "ENCRYPTED PRIVATE KEY", cause una denegación de servicio mediante el agotamiento del CPU debido a un recuento de iteraciones cercano a 2^31. Esto ocurre porque el recuento se toma de los parámetros del algoritmo no autenticados sin un límite superior, y la derivación de clave se ejecuta antes de que pueda verificarse la contraseña o los datos. Están afectados PBES1 y PBES2 (PBKDF2) de PKCS#5, los algoritmos PBE de PKCS#12 y los destinatarios por contraseña CMS (CmsPbeKey). La carga de archivos PKCS#12 con Pkcs12Store está cubierta por CVE-2026-63572, y un recuento cero o negativo con los algoritmos PKCS#12 por CVE-2026-63575.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.