CVE-2026-45271 in picotls
摘要
由 VulDB • 2026-08-22
Picotls 是一个 TLS 协议库，允许用户根据其用例选择不同的加密后端。Picotls 实现了自己的 ASN.1 验证辅助函数，该辅助函数在解析本地 PKCS#8 私钥时被 minicrypto 后端使用。在提交 c14231d801407640bc42c2dcf92783409ea6a7c7 之前，验证器会递归深入构造的 ASN.1 元素，而未强制执行最大嵌套深度限制。如果应用程序通过 ptls_minicrypto_load_private_key() 加载攻击者提供的私钥文件，或者对不受信任的 DER 数据调用公共 ASN.1 验证 API，则精心构造的深度嵌套 ASN.1 结构可能会耗尽进程堆栈并导致应用程序崩溃。请注意，libcrypto (OpenSSL) 后端不使用 picotls 的 ASN.1 验证辅助函数，因此不受此漏洞影响。该漏洞已在提交 c14231d801407640bc42c2dcf92783409ea6a7c7 中得到修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.