CVE-2026-3505

WysokieCVSS 7.5

Opublikowano: 15/04/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.79%

Percentyl 54 - wyżej niż 54% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece BC-JAVA (moduły pgp) powoduje niekontrolowane zużycie zasobów przez brak limitów w plikach AEADEncDataPacket.Java, BcAEADUtil.Java, JceAEADUtil.Java i OperatorHelper.Java. Atakujący może doprowadzić do wyczerpania zasobów systemowych.

Ocena ryzyka

Organizacja narażona jest na ataki DoS (Denial of Service), które mogą unieruchomić aplikacje korzystające z biblioteki Bouncy Castle do obsługi PGP.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę BC-JAVA do wersji 1.80.2, 1.81.1 lub 1.84 w zależności od używanej gałęzi.

Inne podatności w BC-JAVA

CVE-2026-5598Wysokie
Podatność typu ukrytego kanału czasowego w bibliotece BC-JAVA (rdzeń) umożliwia atakującemu wydobycie informacji poprzez pomiar czasu operacji kryptograficznych. Problem dotyczy modułów rdzeniowych, w szczególności pliku FrodoEngine.Java.

Oryginalny opis (angielski, źródło NVD)

Allocation of resources without limits or throttling, Uncontrolled Resource Consumption vulnerability in Legion of the Bouncy Castle Inc. BC-JAVA bcpg on all (pg modules). This vulnerability is associated with program files AEADEncDataPacket.Java, BcAEADUtil.Java, JceAEADUtil.Java, OperatorHelper.Java. This issue affects BC-JAVA: from 1.74 before 1.80.2, from 1.81 before 1.81.1, from 1.82 before 1.84.