CVE-2026-58062
KrytyczneCVSS 9.3Streszczenie
W Bouncy Castle dla Java przed wersją 1.85, odpowiedź OCSP zszyta (Stapled OCSP) jest akceptowana bez powiązania ze sprawdzanym certyfikatem. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed 2.0.2 (seria 2.0.X) i 2.1.3 (seria 2.1.X).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zaakceptowania nieprawidłowego lub sfałszowanego statusu unieważnienia certyfikatu, co może prowadzić do naruszenia zaufania w komunikacji TLS.
Rekomendacja
Zaleca się aktualizację Bouncy Castle do wersji 1.85 lub nowszej (dla zwykłej wersji), do 2.73.12 lub nowszej (dla LTS) oraz do odpowiednich wersji FIPS.
Oryginalny opis (angielski, źródło NVD)
In Bouncy Castle for Java before 1.85, Stapled OCSP response accepted without binding to the checked certificate. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 2.0.2 (2.0.X series) and 2.1.3 (2.1.X series).