A complexidade algorítmica ineficiente no decodificador asn1 OBJECT IDENTIFIER permite que um invasor remoto não autenticado cause a negação de serviço ao enviar um OID manipulado durante o handshake TLS. O problema ocorre porque o decodificador acumula um subidentificador base-128 em um inteiro ilimitado, resultando em um trabalho total quadrático em relação ao tamanho de um único subidentificador. Este comportamento está presente na função `asn1rtt ber:dec subidentifiers/3` em `lib/asn1/src/asn1rtt ber.erl`, na função `asn1rtt per common:dec subidentifiers/3` em `lib/asn1/src/asn1rtt per common.erl` e na função `asn1rtt jer:json2oid/1` em `lib/asn1/src/asn1rtt jer.erl`. O decodificador vulnerável é gerado em cada módulo ASN.1 que contém um OBJECT IDENTIFIER, incluindo o `OTP-PUB-KEY` durante a análise de certificados X.509 via `public key:pkix decode cert/2`. Como esse processo ocorre antes da verificação de assinatura ou da cadeia de confiança, qualquer serviço Erlang que analise certificados TLS de pares, como clientes TLS ou servidores mutual-TLS, está exposto.