CVE-2026-84008

Nome do Software Vulnerável e Versões Afetadas System.Security.Cryptography.Pkcs versões 10.0.0 a 10.0.12 System.Security.Cryptography.Pkcs versões 11.0.0-preview.1 a 11.0.0-rc.1 System.Security.Cryptography.Pkcs versões 8.0.0 a 8.0.1 System.Security.Cryptography.Pkcs versões 9.0.0 a 9.0.20

Description A complexidade algorítmica ineficiente no .NET permite que um invasor não autorizado cause a negação de serviço através de uma rede. Especificamente, a função SignedCms.CheckSignature() pode reprocessar repetidamente dados X.509 controlados por um invasor, resultando em exaustão quadrática de CPU não autenticada.

Recommendations Atualize o System.Security.Cryptography.Pkcs versões 10.0.0 a 10.0.12 para a versão 10.0.13. Atualize o System.Security.Cryptography.Pkcs versões 11.0.0-preview.1 a 11.0.0-rc.1 para a versão 11.0.0-rc.2. Atualize o System.Security.Cryptography.Pkcs versões 8.0.0 a 8.0.1 para a versão 8.0.2. Atualize o System.Security.Cryptography.Pkcs versões 9.0.0 a 9.0.20 para a versão 9.0.21. Como mitigação temporária, restrinja o uso da função SignedCms.CheckSignature() ao processar dados X.509 não confiáveis.