CVE-2026-119197 in pyasn1
요약
\~에 의해 VulDB • 2026. 10. 29.
pyasn1은 Python용 범용 ASN.1 라이브러리입니다. 버전 0.6.5 이전에는 이진 REAL 디코딩이 증가하는 정수를 시프트하고 나머지 바이트 문자열을 슬라이스하여 큰 가수(mantissa)를 한 옥텟씩 구축합니다. 공격자가 제어할 수 있는 ASN.1 데이터는 큰 가수를 가진 바이너리 인코딩된 REAL 값을 포함하며, REAL 스키마가 있든 없든 BER, CER 또는 DER decode() 메서드를 호출합니다. RealPayloadDecoder.valueDecoder는 각 가수 옥텟마다 왼쪽 시프트(Left shift), OR 연산 및 접미사 복사(suffix copy)를 반복 수행하므로 디코딩 시간이 가수의 길이에 대해 이차(quadratic)적으로 증가합니다. 비교적 작은 REAL 값이라도 하나의 CPU 코어에서 수 초 이상 디코딩 작업을 점유하여 서비스 이용 불가(Availability loss) 상태를 유발할 수 있습니다. 이 문제는 버전 0.6.5에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.