CVE-2026-59638
KrytyczneCVSS 9.3Streszczenie
W Bouncy Castle dla Java przed wersją 1.85, weryfikator nazwy hosta JSSE domyślnie włącza fallback do CN (Common Name), mimo że dokumentacja wskazuje na opcjonalność. Problem dotyczy również wersji LTS i FIPS.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataku phishingowego lub man-in-the-middle, ponieważ certyfikat z pasującym CN (ale nieprawidłowym SAN) może zostać zaakceptowany.
Rekomendacja
Zaleca się aktualizację Bouncy Castle do wersji 1.85 lub nowszej (dla zwykłej wersji), do 2.73.12 lub nowszej (dla LTS) oraz do odpowiednich wersji FIPS.
Oryginalny opis (angielski, źródło NVD)
In Bouncy Castle for Java before 1.85, JSSE hostname verifier CN-fallback enabled by default despite documented opt-in. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bctls-fips 1.0.24 (1.0.X series), 2.0.24 (2.0.X series) and 2.1.24 (2.1.X series).