CVE-2026-71886

WysokieCVSS 8.2

Opublikowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Streszczenie

W bibliotece Bouncy Castle dla Javy przed wersją 1.86, wysokopoziomowe API OpenPGP akceptowało certyfikację lub delegację zaufania od dowolnego klucza składowego certyfikatu wydającego, bez wymogu posiadania przez ten klucz uprawnienia do certyfikowania. Atakujący mógł wykorzystać podklucz z ograniczonymi uprawnieniami (np. tylko do podpisywania lub szyfrowania) do wystawienia ważnej certyfikacji tożsamości lub delegacji zaufania, co skutkowało przypisaniem tych działań do klucza głównego.

Ocena ryzyka

Organizacja używająca API do weryfikacji tożsamości lub zaufanych wprowadzających może błędnie przypisać atakującemu tożsamość lub uprawnienia do klucza głównego, co może prowadzić do naruszenia integralności zaufania i autoryzacji w systemach opartych na OpenPGP.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki Bouncy Castle do wersji 1.86 lub nowszej, która wymaga, aby klucz składowy miał flagę CERTIFY_OTHER przy tworzeniu podpisu. Należy również przejrzeć istniejące implementacje pod kątem wykorzystania podatnych metod getCertificationBy() i getDelegationBy().

Inne podatności w Bouncy Castle

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

In Bouncy Castle for Java before 1.86, the high-level OpenPGP certificate API accepted a third-party certification or trust delegation from any component key of the issuing certificate, without requiring that component to have been granted the authority to certify. OpenPGPCertificate.getCertificationBy() and getDelegationBy() resolve a third-party signature by matching its issuer key identifier against every key of the third-party certificate, then verify the issuing component's binding chain and the signature itself; nothing checked that the issuing component carried the RFC 9580 sec. 5.2.3.29 certification key flag (CERTIFY_OTHER) when the signature was created. A subkey bound only with SIGN_DATA - the online signing subkey of exactly the offline-primary arrangement those key flags exist to express - could therefore issue a positive User ID certification over an attacker-controlled identity, or a full-trust depth-one direct-key delegation of introducer trust, and the API returned it as a valid signature chain attributed to the third-party certificate. An application treating getCertificationBy(...).isValid() or getDelegationBy(...) as an identity or trusted-introducer decision would attribute the attacker's assertion to the offline primary key. The same held for a legacy RSA subkey bound only for encryption, whose algorithm is nonetheless able to sign. This does not forge the primary key's signature or recover any private key; it promotes an already-compromised restricted subkey to the primary key's identity-issuing authority, defeating the containment the key-flag separation provides. A third-party certification or delegation is now attributed to the issuing certificate only when the component key that made it is the primary key, or is a subkey holding CERTIFY_OTHER when the signature was created, so certification-capable subkeys continue to be accepted; primary keys are accepted whatever their key flags say, since a primary key is certification-capable by construction and certificates carrying no key flags subpacket at all are common. Third-party revocations are deliberately outside the rule, since declining to honour one would keep trust alive rather than withdraw it.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS