CVE-2026-45271 in picotls
Résumé
par VulDB • 22/08/2026
Picotls est une bibliothèque de protocole TLS qui permet aux utilisateurs de sélectionner différents backends cryptographiques en fonction de leur cas d'utilisation. Picotls implémente son propre assistant de validation ASN.1, utilisé par le backend minicrypto lors de l'analyse des clés privées PKCS#8 locales. Avant la correction apportée dans le commit c14231d801407640bc42c2dcf92783409ea6a7c7, le validateur descendait récursivement dans les éléments ASN.1 construits sans imposer de profondeur maximale d'imbrication. Si une application charge un fichier de clé privée fourni par un attaquant via ptls_minicrypto_load_private_key(), ou appelle autrement l'API publique de validation ASN.1 sur des données DER non fiables, une structure ASN.1 profondément imbriquée et fabriquée peut épuiser la pile du processus et provoquer le plantage de l'application. Notez que le backend libcrypto (OpenSSL) n'utilise pas l'assistant de validation ASN.1 de picotls et est donc immunisé contre cette vulnérabilité. La vulnérabilité a été corrigée dans le commit c14231d801407640bc42c2dcf92783409ea6a7c7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.