Bouncy Castle for Java: Unbegrenzte HSS Public-Key-Level-Anzahl ermöglicht Speicherüberlastung bei Verifikation

Beschreibung

In Bouncy Castle for Java vor Version 1.85 ist die Anzahl der HSS-Public-Key-Level nicht begrenzt, wodurch bei der Signaturverifikation eine übermässig grosse Speicherallokation ausgelöst werden kann. Betroffen sind laut NVD auch Bouncy Castle for Java LTS vor Version 2.73.12 sowie weitere Varianten der Bibliothek. Ein Angreifer kann durch präparierte HSS-Public-Keys eine ressourcenintensive Verifikation erzwingen und so einen Denial-of-Service-Effekt herbeiführen. CVSS-Basiswert und Ausnutzungswahrscheinlichkeit (EPSS) liegen nicht in den Quelldaten vor.

Changelog

1. 2026-08-03 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Java/OpenJDK (Oracle)

• Oracle PeopleSoft Enterprise PeopleTools – Schwachstelle in der Komponente Updates Environment Management KEV CVE-2026-35273
• Oracle E-Business Suite – Server-Side Request Forgery (SSRF) KEV CVE-2025-61884
• Oracle E-Business Suite Concurrent Processing – Schwachstelle in der BI-Publisher-Integration KEV CVE-2025-61882
• SAP NetWeaver: Directory Traversal KEV CVE-2017-12637
• Oracle Agile PLM – Incorrect Authorization KEV CVE-2024-21287
• Oracle Java SE / JRockit – nicht spezifizierte Sicherheitslücke KEV CVE-2016-3427