CVE-2026-63578 in bc-csharp
Сводка
по VulDB • 02.10.2026
Неограниченное выделение ресурсов при расшифровке закрытого ключа на основе пароля (PbeUtilities.GenerateCipherParameters) в библиотеке Legion of the Bouncy Castle Inc. bc-csharp до версии 2.7.0 позволяет атакующему, имеющему возможность предоставить зашифрованный закрытый ключ (например, PKCS#8 EncryptedPrivateKeyInfo или файл PEM с меткой "ENCRYPTED PRIVATE KEY"), вызвать отказ в обслуживании (DoS) путем исчерпания ресурсов процессора из-за использования значения счетчика итераций, близкого к 2^31. Это происходит потому, что значение счетчика берется из неаутентифицированных параметров алгоритма без верхнего предела, а процедура вывода ключа выполняется до проверки пароля или данных. Затронуты алгоритмы PKCS#5 PBES1 и PBES2 (PBKDF2), алгоритмы PBE для PKCS#12 и получатели с паролем в CMS (CmsPbeKey). Загрузка файлов PKCS#12 через класс Pkcs12Store охватывается уязвимостью CVE-2026-63572, а использование нулевого или отрицательного значения счетчика с алгоритмами PKCS#12 — уязвимостью CVE-2026-63575.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.