CVE-2026-5598

WysokieCVSS 7.5

Opublikowano: 15/04/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.90%

Percentyl 58 - wyżej niż 58% wszystkich znanych CVE

Streszczenie

Podatność typu ukrytego kanału czasowego w bibliotece BC-JAVA (rdzeń) umożliwia atakującemu wydobycie informacji poprzez pomiar czasu operacji kryptograficznych. Problem dotyczy modułów rdzeniowych, w szczególności pliku FrodoEngine.Java.

Ocena ryzyka

Atakujący może wykorzystać różnice czasowe do odtworzenia kluczy lub innych tajnych danych, co prowadzi do naruszenia poufności systemów używających tej biblioteki.

Rekomendacja

Należy niezwłocznie zaktualizować BC-JAVA do wersji 1.80.2, 1.81.1 lub 1.84 w zależności od używanej gałęzi. W przypadku braku możliwości aktualizacji rozważyć zastosowanie tymczasowych zabezpieczeń maskujących czasy operacji.

Inne podatności w BC-JAVA

CVE-2026-3505Wysokie
Podatność w bibliotece BC-JAVA (moduły pgp) powoduje niekontrolowane zużycie zasobów przez brak limitów w plikach AEADEncDataPacket.Java, BcAEADUtil.Java, JceAEADUtil.Java i OperatorHelper.Java. Atakujący może doprowadzić do wyczerpania zasobów systemowych.

Oryginalny opis (angielski, źródło NVD)

Covert timing channel vulnerability in Legion of the Bouncy Castle Inc. BC-JAVA core on all (core modules). This vulnerability is associated with program files FrodoEngine.Java. This issue affects BC-JAVA: from 1.71 before 1.80.2, from 1.81 before 1.81.1, from 1.82 before 1.84.