CVE-2026-63578 in bc-csharp
摘要
由 VulDB • 2026-10-02
在 Legion of the Bouncy Castle Inc. 的 bc-csharp（版本低于 2.7.0）中，基于密码的私钥解密功能（PbeUtilities.GenerateCipherParameters）存在资源分配无限制漏洞。攻击者若能提供加密后的私钥（例如 PKCS#8 EncryptedPrivateKeyInfo 或 “ENCRYPTED PRIVATE KEY” PEM 文件），可通过指定接近 2^31 的迭代计数值，导致 CPU 耗尽从而引发拒绝服务（DoS）。该问题源于算法参数未经身份验证且无上限约束，同时密钥派生过程在密码或数据校验之前执行。受影响的组件包括 PKCS#5 PBES1、PBES2 (PBKDF2)、PKCS#12 PBE 算法以及 CMS 密码接收者（CmsPbeKey）。使用 Pkcs12Store 加载 PKCS#12 文件的情况由 CVE-2026-63572 覆盖，而针对 PKCS#12 算法中计数值为零或负数的情况则由 CVE-2026-63575 覆盖。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.