CVE-2026-97873
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W Bouncy Castle dla Javy przed wersją 1.86 starsze rodziny PBES1 (PKCS#5, schemat 1) i PKCS#12 PBE pierwotnego dostawcy JCA przeprowadzały wyprowadzanie klucza w oparciu o hasło z liczbą iteracji pobraną z niezaufanych danych wejściowych bez ograniczania ich, więc niewielka ilość danych wejściowych może narzucać dowolną ilość pracy, zanim będzie można cokolwiek zweryfikować. Implementacje AlgorithmParameters (PKCS12PBE i jego aliasy identyfikatorów obiektów oraz PBKDF1) akceptowały dowolną liczbę z zakodowanych PKCS12PBEParams lub PBEParameter, zawężając wartość poza zakres int za pomocą intValue(), a każda Cipher, Mac i SecretKeyFactory w tych rodzinach wyprowadzana jest z dowolnej podanej liczby, łącznie z tą zdekodowaną przez innego dostawcę AlgorithmParameters, tak jak wtedy, gdy javax.crypto.EncryptedPrivateKeyInfo.getKeySpec() odszyfrowuje klucz prywatny chroniony PKCS#12 PBE za pomocą BC. Zarówno analiza parametrów, jak i wyprowadzenia odrzucają teraz ujemną lub przekroczoną liczbę w ramach właściwości org.bouncycastle.pbe.max_iteration_count (domyślnie 10 000 000), która już ograniczała PBKDF2 (CVE-2026-17508), a analiza odrzuca liczbę wykraczającą poza zakres int, zamiast go zawężać. Ten problem dotyczy także Bouncy Castle dla Java LTS przed wersją 2.73.13.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org