CVE-2026-17508
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W Bouncy Castle dla języka Java przed wersją 1.86 kilka punktów wejściowych wyprowadzania klucza w oparciu o hasło uruchamiało KDF z parametrami kosztowymi pobranymi z przetwarzanych niezaufanych danych wejściowych, bez ich ograniczania, więc niewielkie dane wejściowe mogą wymagać dowolnej ilości pracy, zanim jakiekolwiek hasło lub kontrola integralności będzie mogła je odrzucić. Dotknięte ścieżki to narzędzia do tworzenia kalkulatorów MAC RFC 9579 PBMAC1, które pobierały liczbę iteracji PBKDF2 i długość klucza pochodnego bezpośrednio z PBMAC1Params (JcePBMac1CalculatorBuilder i PKCS12PBEUtils.createPBMac1Calculator osiągnięte z PKCS12PfxPdu.isMacValid). parametr p równoległości skryptu w zabezpieczeniach kosztów PKCS#8 i PKCS#12, który ograniczał tylko parametr kosztu N i rozmiar bloku r, mimo że bufor buforowy skaluje się z r razy p, więc można było całkowicie ominąć skonfigurowany limit pamięci; surowy dostawca JCA PBKDF2 (org.bouncycastle.jcajce.provider.symmetric.PBEPBKDF2); oraz liczba rund bcrypt odczytana z własnych opcji kdfopcji zaszyfrowanego klucza prywatnego OpenSSH v1. Każdy z nich ogranicza teraz parametr przed wyprowadzeniem, zgodnie z ograniczeniami już zastosowanymi w innym miejscu drzewa, przy czym liczbę rund OpenSSH można skonfigurować za pomocą nowej właściwości org.bouncycastle.openssh.max_rounds. To kończy ograniczanie rozpoczęte w wersji 1.85 dla deszyfratorów PKCS#8/PBES2 (CVE-2026-15055). Ten problem dotyczy także Bouncy Castle dla Java LTS przed 2.73.13 i Bouncy Castle dla Java FIPS (BC-FJA) przed bcpkix-fips 1.0.13 (seria 1.0.X), 2.0.13 (seria 2.0.X) i 2.1.13 (seria 2.1.X).
>_ Słabości (CWE)
>_ Referencje
- https://github.com/bcgit/bc-java/commit/20ed9e203caec91d25cd386ceb6d364e9b068f67
- https://github.com/bcgit/bc-java/commit/442393bf187c914b1e66fbed4fab532a1fe06c6a
- https://github.com/bcgit/bc-java/commit/480d878aa6f7dc8b20403064f304bbe0decbbb1a
- https://github.com/bcgit/bc-java/commit/766a31026ac24ed3c6cad8662058ba450c338da1
- https://github.com/bcgit/bc-java/commit/882fdab53f6c4c150a5d6a4e6ef1fc05d382385a
- https://github.com/bcgit/bc-java/commit/e72bc0681ff4227fced912ef7394daf7b7d57bb3
- https://github.com/bcgit/bc-java/wiki/CVE%E2%80%902026%E2%80%9017508
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org