CVE-2026-63578 in bc-csharp
要約
〜によって VulDB • 2026年10月02日
Legion of the Bouncy Castle Inc.のbc-csharp 2.7.0以前のバージョンにおける、パスワードベースの秘密鍵復号処理（PbeUtilities.GenerateCipherParameters）でのリソース無制限割り当てにより、PKCS#8 EncryptedPrivateKeyInfoや「ENCRYPTED PRIVATE KEY」PEMファイルなどの暗号化された秘密鍵を入力できる攻撃者が、2^31に近い反復カウントを使用することでCPU枯渇を引き起こし、サービス妨害（DoS）を発生させる可能性があります。これは、認証されていないアルゴリズムパラメータから上限なしでカウントが取得され、パスワードまたはデータの検証前にキー導出処理が実行されるためです。PKCS#5 PBES1およびPBES2 (PBKDF2)、PKCS#12 PBEアルゴリズム、CMSのパスワード受信者（CmsPbeKey）が影響を受けます。Pkcs12Storeを使用したPKCS#12ファイルの読み込みはCVE-2026-63572でカバーされ、PKCS#12アルゴリズムにおけるゼロまたは負のカウントはCVE-2026-63575の対象です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.