Bouncy Castle bc-csharp: Denial of Service durch unbegrenzte PBM-Iterationsanzahl in CMP/CRMF

Zusammenfassung

Die Bouncy-Castle-C#-Bibliothek (bc-csharp) vor 2.7.0 begrenzt die Iterationsanzahl der passwortbasierten MAC-Prüfung in CMP- und CRMF-Nachrichten nur dann, wenn der Aufrufer über einen speziellen Konstruktor ein explizites Maximum setzt. Ein entfernter, nicht authentifizierter Angreifer kann mit einer einzelnen präparierten CMP-Nachricht oder Zertifikatsanfrage bis zu etwa 2^31 Hash-Iterationen erzwingen, wodurch ein CPU-Kern minutenlang ausgelastet wird. Wiederholte Nachrichten können einen CMP-Server wie eine Zertifizierungsstelle oder Registrierungsstelle erschöpfen.

Betroffen

• bc-csharp (NuGet BouncyCastle.Cryptography) Versionen 0 bis vor 2.7.0
• Nur betroffen, wenn Anwendungen CMP-Nachrichten oder CRMF-Zertifikatsanfragen von nicht vertrauenswürdigen Quellen prüfen, zum Beispiel ProtectedPkiMessage.Verify oder CertificateRequestMessage.IsValidSigningKeyPop mit dem Standardkonstruktor

Behoben in

• BC C# .NET 2.7.0 (Standardlimit von 1.000.000 Iterationen angewendet)

Umgehung

• Auf 2.7.0 oder neuer aktualisieren. Dies ist die Abhilfe des Herstellers.
• Falls ein Update nicht sofort möglich ist, den prüfenden PKMacBuilder als new PKMacBuilder(new DefaultPKMacPrimitivesProvider(), maxIterations) mit einem positiven maxIterations erstellen, das die legitimen Gegenstellen abdeckt, oder die Iterationsanzahl aus der Nachricht lesen und übermässige Werte vor dem Aufruf von Verify oder IsValidSigningKeyPop ablehnen.
• Netzwerkzugriff auf CMP- und Zertifikatsanfrage-Endpunkte einschränken und die Anfragerate begrenzen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob eine .NET-Anwendung oder PKI-Komponente bc-csharp für die CMP- oder CRMF-Verarbeitung nutzt, einschliesslich transitiver NuGet-Abhängigkeiten.
• BouncyCastle.Cryptography auf 2.7.0 oder neuer aktualisieren und die Version im NuGet-Paket überprüfen.
• Falls sich das Update verzögert, den Konstruktor mit explizitem Maximum oder die in der Herstellerdokumentation beschriebenen Vorprüfungen der Nachrichten anwenden.
• Die Exposition von CA-, RA- oder Enrolment-Endpunkten auf vertrauenswürdige Netze beschränken und auf CPU-Spitzen sowie wiederholte CMP-Anfragen überwachen.
• Anwendungen, die nur PBM-geschützte Nachrichten erzeugen oder Nachrichten ausschliesslich von vertrauenswürdigen Quellen akzeptieren, sind nicht betroffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor advisory (bc-csharp wiki) github.com
• Fix commit: adds the default limit github.com
• Fix commit: sets the default to 1,000,000 github.com
• Fix commit: rejects counts outside valid range github.com
• OSV entry CVE-2026-63568 osv.dev
• VulnERS CVE-2026-63568 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:14.