Denial of Service in Cryptacular

高 7.5CVE-2020-7226 · GHSA-x64g-4xx9-fh6x · 24/01/2020 公開 · 17/06/2026 更新

要点

CVE-2020-7226 は org.cryptacular:cryptacular, communications services gatekeeper (oracle), webcenter sites (oracle) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.3%（全脆弱性の 88.6% より高い）。
対処：1.2.4, 1.1.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.cryptacular:cryptacular Maven	`≥ 1.2.0, < 1.2.4< 1.1.4`	`1.2.41.1.4`
communications services gatekeeper oracle	`= 7.0`	修正版なし
webcenter sites oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
weblogic server oracle	`= 12.2.1.4.0= 14.1.1.0.0`	修正版なし
cryptacular vt	`≥ 1.2.0, < 1.2.4< 1.1.4`	`1.2.41.1.4`

概要

CiphertextHeader.java in Cryptacular before 1.2.4, as used in Apereo CAS and other products, allows attackers to trigger excessive memory allocation during a decode operation, because the nonce array length associated with "new byte" may depend on untrusted input within the header of encoded data.

NVD の説明

CiphertextHeader.java in Cryptacular 1.2.3, as used in Apereo CAS and other products, allows attackers to trigger excessive memory allocation during a decode operation, because the nonce array length associated with "new byte" may depend on untrusted input within the header of encoded data.