CVE-2026-13505

Nome do Software Vulnerável e Versões Afetadas Bouncy Castle for Java FIPS (BC-FJA) versões anteriores a 1.0.2.7 Bouncy Castle for Java FIPS (BC-FJA) versões anteriores a 2.0.2 Bouncy Castle for Java FIPS (BC-FJA) versões anteriores a 2.1.3

Description Material de chave sensível nos motores AES e DESede, DRBGs SP 800-90A, SymmetricSecretKey e nas classes de parâmetros PBKD e scrypt era zeroizado durante a coleta de lixo (garbage collection) através da sobreposição de Object.finalize(). Em JVMs posteriores ao Java 8 e Java 11, onde a finalização foi depreciada, esse processo pode causar o crescimento ilimitado da fila de finalização pendente caso os objetos sejam alocados mais rapidamente do que a única thread de finalização consegue processá-los. Isso pode resultar em um OutOfMemoryError sob carga e permite que o material de chave sensível permaneça residente na heap por mais tempo do que o pretendido, anulando o propósito da zeroização.

Recommendations Atualizar o Bouncy Castle for Java FIPS (BC-FJA) série 1.0.X para a versão 1.0.2.7 ou posterior. Atualizar o Bouncy Castle for Java FIPS (BC-FJA) série 2.0.X para a versão 2.0.2 ou posterior. Atualizar o Bouncy Castle for Java FIPS (BC-FJA) série 2.1.X para a versão 2.1.3 ou posterior.