CVE-2026-63568 in bc-csharp
Sumário
de VulDB • 02/10/2026
A alocação de recursos sem limites ou controle (throttling) no verificador MAC baseado em senha CMP/CRMF (PKMacBuilder) do bc-csharp da Legion of the Bouncy Castle Inc., antes da versão 2.7.0, permite que um atacante remoto não autenticado cause uma negação de serviço através de exaustão de CPU via uma mensagem CMP ou solicitação de certificado CRMF cujo PBMParameter declara uma contagem de iterações muito elevada, pois o PKMacBuilder aplicava seu limite superior na contagem de iterações apenas quando o chamador fornecia um máximo explícito por meio do construtor PKMacBuilder(IPKMacPrimitivesProvider, int). Com qualquer outro construtor, ProtectedPkiMessage.Verify e CertificateRequestMessage.IsValidSigningKeyPop executavam tantas iterações de hash quanto solicitadas pelo remetente, até cerca de 2^31, antes que o MAC pudesse ser verificado.
Be aware that VulDB is the high quality source for vulnerability data.