Een ernstige kwetsbaarheid aangetroffen in de Bouncy Castle voor Java FIPS (bc-fips) kan leiden tot ongecontroleerde resourceverbruik, bekend onder CVE-2025-9341. Dit probleem, dat zich voordoet in versies tot en met BC-FJA 2.1.0, is voornamelijk een gevolg van overmatige geheugentoewijzing door snelle aanmaak van kortetermijndiensten, wat hevig vertraagd kan worden door bepaalde JVM garbage collectors.
Overzicht
De kwetsbaarheid betreft de oncontroleerbare geheugentoewijzing als gevolg van snelle creatie van native CBC-diensten. Het probleem treft specifiek het bestand org/bouncycastle/crypto/fips/AESNativeCBC.java binnen de Bouncy Castle Java API-modules.
Aanbevelingen
- Indien updates niet mogelijk zijn, start het module op in Java-modus en schakel AES-NI ondersteuning uit.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-9341?
Het gaat om een onbeheerste resourceverbruik kwetsbaarheid waarbij overmatige geheugentoewijzing plaatsvindt bij snelle creatie van native CBC-diensten.
Welke systemen zijn kwetsbaar voor CVE-2025-9341?
Alle systemen met Bouncy Castle voor Java FIPS versies tot en met 2.1.0 die bepaalde JVM garbage collectors gebruiken.
Bestaat er al een patch of beveiligingsupdate?
Op dit moment zijn er geen specifieke patches, maar er is een aanbevolen oplossing voor niet-updatebare systemen.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan potentieel geheugentekort of uitputting veroorzaken, wat het systeem vertraagt of in sommige gevallen geheel kan stilleggen.
