脆弱性の一覧へ戻る
編集部の見出し：pyasn1：スキーマなしデコードの TagSet 衝突で CPU 負荷が増え停止（7.5）
NVD の情報
pyasn1 is a generic ASN.1 library for Python. From 0.3.3 until 0.6.5, schemaless container decoding stores every decoded component's TagSet in a growing set even though only one-versus-multiple tag types must be distinguished. Attacker-controlled BER, CER, or DER input contains many distinct long tag IDs whose TagSet hashes collide. Each later set insertion compares against an increasing number of earlier colliding tags in ConstructedPayloadDecoderBase._decodeComponentsSchemaless, producing quadratic CPU work while decoded values and order remain valid. Repeated inputs can exhaust decoder CPU and reduce service availability. This issue is fixed in version 0.6.5.
- 公開日
- 2026-10-29
- 最終更新（NVD）
- 2026-10-29
- NVD の状態
- Received
- 脆弱性の種類
- CWE-407
深刻度（CVSS）
- 7.5 HighCVSS 3.1／副／評価：security-advisories@github.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
悪用の状況
CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。
解消方法
- 解消方法の情報なし
「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。
編集部の記載（レポート掲載時）
レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。
2026-10-30 のレポートpyasn1：スキーマなしデコードの TagSet 衝突で CPU 負荷が増え停止（7.5）
細工した BER/CER/DER 入力で CPU を使い切るサービス拒否。同時に 119195〜119197 の3件も 7.5。Python の依存として推移的に入っていることが多い。
悪用状況（編集部）：不明
参照（NVD）
NVD から取得：2026-10-29T20:40:18.778Z
This product uses the NVD API but is not endorsed or certified by the NVD.
悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。