CVE-2026-14682

Bouncy Castle dla Java — niekontrolowana alokacja pamięci prowadząca do OOM

CVSS 8.7v4.0pub. 2026-08-03upd. 2026-08-28

Podatność w bibliotece Bouncy Castle dla Java umożliwia nieograniczoną alokację pamięci z góry podczas odczytu danych o określonej długości (definite-length read), co może doprowadzić do wyczerpania pamięci (Out of Memory). Skutkuje to odmową usługi (DoS) dla aplikacji korzystających z tej biblioteki.

▸ Pokaż oryginał (EN)

In Bouncy Castle for Java before 1.85, Possible OOM from unbounded up-front allocation on a definite-length read. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 1.0.2.7 (1.0.X series), 2.0.2 (2.0.X series) and 2.1.3 (2.1.X series), and before bctls-fips 1.0.24.

🤖 Analiza AI

Jak działa

Podczas przetwarzania danych zakodowanych z określoną długością (definite-length encoding) biblioteka dokonuje natychmiastowej alokacji bufora o rozmiarze wskazanym w nagłówku struktury danych, bez wcześniejszej weryfikacji zasadności tej wartości. Atakujący może przesłać spreparowany pakiet z zawyżoną wartością długości, wymuszając alokację ogromnego obszaru pamięci. W konsekwencji aplikacja wykorzystująca bibliotekę może ulec awarii z powodu wyczerpania dostępnej pamięci (OOM — Out of Memory).

Skutki

Atakujący nieuwierzytelniony, działający zdalnie, może doprowadzić do odmowy usługi (DoS) wobec aplikacji lub usługi korzystającej z podatnej wersji biblioteki Bouncy Castle. Nie stwierdzono wpływu na poufność ani integralność danych.

Mitygacja

Należy zaktualizować bibliotekę Bouncy Castle do wersji: 1.85 lub nowszej (wersja standardowa), 2.73.12 lub nowszej (wersja LTS), bc-fips 1.0.2.7 / 2.0.2 / 2.1.3 lub nowszych odpowiednio dla danej serii (wersja FIPS), bctls-fips 1.0.24 lub nowszej. Szczegóły dostępne w referencjach producenta na stronie GitHub projektu bc-java.

Kogo dotyczy

Bouncy Castle for Java przed wersją 1.85; Bouncy Castle for Java LTS przed wersją 2.73.12; Bouncy Castle for Java FIPS (BC-FJA) przed wersjami bc-fips 1.0.2.7 (seria 1.0.X), 2.0.2 (seria 2.0.X) i 2.1.3 (seria 2.1.X); bctls-fips przed wersją 1.0.24.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amber

Bouncycastle Bc Java
APP
Bouncycastle
< 1.85
Bouncycastle Bctls Fips
APP
Bouncycastle
< 1.0.24
Bouncycastle Bouncy Castle For Java Lts
APP
Bouncycastle
≤ 2.73.11
Bouncycastle Fips Java Api
APP
Bouncycastle
1.0.0 – 1.0.2.7 (bez)2.0.0 – 2.0.2 (bez)2.1.0 – 2.1.3 (bez)