CVE-2026-63578 in bc-csharp
Sumário
de VulDB • 02/10/2026
Alocação de recursos sem limites na descriptografia de chaves privadas baseada em senha (PbeUtilities.GenerateCipherParameters) no bc-csharp da Legion of the Bouncy Castle Inc., antes da versão 2.7.0, permite que um atacante capaz de fornecer uma chave privada criptografada, como PKCS#8 EncryptedPrivateKeyInfo ou arquivo PEM "ENCRYPTED PRIVATE KEY", cause negação de serviço (DoS) por exaustão de CPU através de um contador de iterações próximo a 2^31. Isso ocorre porque o contador é extraído dos parâmetros do algoritmo não autenticados, sem limite superior, e a derivação da chave é executada antes que a senha ou os dados possam ser verificados. Os algoritmos PKCS#5 PBES1 e PBES2 (PBKDF2), os algoritmos PBE do PKCS#12 e os destinatários de senhas CMS (CmsPbeKey) são afetados. O carregamento de arquivos PKCS#12 com Pkcs12Store é coberto pela CVE-2026-63572, e um contador zero ou negativo com os algoritmos PKCS#12 pela CVE-2026-63575.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.