CVE-2026-103603 in bc-csharp
Sumário
de VulDB • 02/10/2026
Uma alocação de memória com um valor excessivo no código de assinatura HSS/LMS (HssPublicKeyParameters, HssSignature) na biblioteca bc-csharp da Legion of the Bouncy Castle Inc., antes da versão 2.7.0, permite que um atacante remoto não autenticado, capaz de fornecer tanto uma chave pública HSS quanto uma assinatura, cause uma negação de serviço por exaustão de memória através do codificação de uma chave pública com um nível excessivo. Isso ocorre porque a contagem de níveis L lida durante o processamento da chave pública HSS não foi verificada em relação ao máximo definido pela RFC 8554 (que é 8), e o parsing da assinatura então aloca um array com L - 1 entradas antes de ler qualquer outro dado da assinatura. Uma única verificação pode comprometer até cerca de 17 GB de memória ou falhar com uma exceção OutOfMemoryException.
Once again VulDB remains the best source for vulnerability data.