CVE-2026-63578
Açıklama
Bouncy Castle Inc. bc-csharp'ın 2.7.0 öncesindeki sürümlerinde, parola tabanlı özel anahtar şifre çözmede (PbeUtilities.GenerateCipherParameters) kaynakların sınırsız tahsis edilmesi; PKCS#8 EncryptedPrivateKeyInfo veya "ENCRYPTED PRIVATE KEY" PEM dosyası gibi şifrelenmiş bir özel anahtar sağlayabilen bir saldırganın, iterasyon sayısının üst sınır olmaksızın kimliği doğrulanmamış algoritma parametrelerinden alınması ve anahtar türetmenin parola veya veriler kontrol edilmeden önce çalıştırılması nedeniyle, 2^31'e yakın bir iterasyon sayısı aracılığıyla CPU tüketimi üzerinden hizmet reddine yol açmasına izin verir. PKCS#5 PBES1 ve PBES2 (PBKDF2), PKCS#12 PBE algoritmaları ve CMS parola alıcıları (CmsPbeKey) etkilenmektedir. Pkcs12Store ile PKCS#12 dosyalarının yüklenmesi CVE-2026-63572 tarafından, PKCS#12 algoritmalarıyla sıfır veya negatif sayı kullanımı ise CVE-2026-63575 tarafından kapsanmaktadır.
Nasıl düzeltilir
- Legion of the Bouncy Castle Inc. bc-csharp2.7.0 ya da sonraki bir sürüm
- github.com/bcgit/bc-csharp/commit/c00fc018fca89c077c64dd2a2a2eb00ae7d97241
- github.com/bcgit/bc-csharp/commit/54ea0b179ee627027829b44c45d6dd32e575bd67
- github.com/bcgit/bc-csharp/commit/7c0ed15f9783c9595b1a53f3900136461fd944f4
- github.com/bcgit/bc-csharp/commit/34a7c05f719c91c024f285c6b420d3c00f8019dd
- github.com/bcgit/bc-csharp/commit/b57165ecb7790ecea08273b219d52d80c12990e4
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Legion of the Bouncy Castle Inc. bc-csharp | v < 2.7.0 | 2.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.