CVE-2026-17508 in Bouncy Castle for Java
Riassunto
di VulDB • 02/10/2026
In Bouncy Castle per Java prima della versione 1.86, diversi punti di ingresso basati su password per la derivazione delle chiavi eseguivano il KDF con parametri di costo presi dall'input non attendibile in fase di elaborazione, senza limitarne i valori; ciò consentiva a un input ridotto di imporre una quantità arbitraria di lavoro prima che qualsiasi controllo della password o dell'integrità potesse rifiutarlo. I percorsi interessati sono: i builder del calcolatore MAC RFC 9579 PBMAC1, che prendevano il conteggio delle iterazioni PBKDF2 e la lunghezza della chiave derivata direttamente da PBMAC1Params (JcePBMac1CalculatorBuilder, e PKCS12PBEUtils.createPBMac1Calculator raggiunto tramite PKCS12PfxPdu.isMacValid); il parametro di parallelizzazione p dello scrypt nei controlli dei costi per PKCS#8 e PKCS#12, che limitavano solo il parametro di costo N e la dimensione del blocco r anche se il buffer temporaneo scala con r volte p, consentendo così di eludere completamente il limite di memoria configurato; il provider JCA PBKDF2 grezzo (org.bouncycastle.jcajce.provider.symmetric.PBEPBKDF2); e il conteggio dei round bcrypt letto dalle proprie kdfoptions di una chiave privata OpenSSH v1 crittografata. Ogni caso ora limita il parametro prima della derivazione, in linea con i limiti già applicati altrove nell'albero del codice; per quanto riguarda il conteggio dei round OpenSSH, questo è configurabile tramite la nuova proprietà org.bouncycastle.openssh.max_rounds. Questo completa l'operazione di limitazione iniziata nella versione 1.85 per i decryptor PKCS#8 / PBES2 (CVE-2026-15055). Questa vulnerabilità interessa anche Bouncy Castle per Java LTS prima della versione 2.73.13, e Bouncy Castle per Java FIPS (BC-FJA) prima delle versioni bcpkix-fips 1.0.13 (serie 1.0.X), 2.0.13 (serie 2.0.X) e 2.1.13 (serie 2.1.X).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.