CVE-2026-71891
WysokieCVSS 7.1Streszczenie
W bibliotece Bouncy Castle for Java przed wersją 1.86 funkcja BLS12_381BasicScheme.keyValidate akceptowała klucze publiczne zbudowane na obcej krzywej ECC, która jedynie dzieli charakterystykę pola z BLS12-381. Pozwalało to na weryfikację zagregowanych podpisów zawierających fałszywego sygnatariusza, mimo braku podpisu dla danej pary klucz-wiadomość.
Ocena ryzyka
Może prowadzić do fałszowania podpisów i obejścia kontroli autoryzacji w aplikacjach używających BLS12-381 z niestandardowymi krzywymi, co stanowi poważne ryzyko dla integralności i uwierzytelniania.
Rekomendacja
Zaktualizuj Bouncy Castle for Java do wersji 1.86 lub nowszej. Upewnij się, że aplikacje nie konstruują punktów ECPoint na niestandardowych krzywych i nie używają ich jako kluczy autoryzacyjnych.
Inne podatności w Bouncy Castle
Zobacz wszystkie- CVE-2026-85515Wysokie
W Bouncy Castle dla Java przed wersją 1.86 stwierdzono podatność polegającą na akceptowaniu obciętych wiadomości OpenPGP bez zgłaszania błędu. W ścieżce SEIPD wersji 1 nie przeprowadzano żadnej kontroli integralności, a w ścieżce AEAD (SEIPD v2 i v5) pomijano tag uwierzytelniający, co skutkowało cichym odrzuceniem pakietów po literale. Problem dotyczy również wersji LTS przed 2.73.13 oraz FIPS (BC-FJA) przed wskazanymi wersjami, ale tylko w ścieżce AEAD.
- CVE-2026-71889Wysokie
W Bouncy Castle dla Java przed wersją 1.86, obie kopie klasy PKIXCertPathReviewer (org.bouncycastle.pkix.jcajce oraz starsza org.bouncycastle.x509) nie stosowały ograniczeń nazw X.509 do certyfikatu końcowego (liścia). Sprawdzenie checkNameConstraints pomijało indeks zero (certyfikat docelowy), przez co testy poddrzew dozwolonych i wykluczonych z RFC 5280 sek. 6.1.3 (b) i (c) nie były wykonywane dla nazwy subject DN i subjectAltName liścia. W rezultacie łańcuch z naruszonymi ograniczeniami nazw był raportowany jako prawidłowy (isValidCertPath() zwracało true z pustą listą błędów), podczas gdy CertPathValidator odrzucał ten sam łańcuch.
- CVE-2026-71886Wysokie
W bibliotece Bouncy Castle dla Javy przed wersją 1.86, wysokopoziomowe API OpenPGP akceptowało certyfikację lub delegację zaufania od dowolnego klucza składowego certyfikatu wydającego, bez wymogu posiadania przez ten klucz uprawnienia do certyfikowania. Atakujący mógł wykorzystać podklucz z ograniczonymi uprawnieniami (np. tylko do podpisywania lub szyfrowania) do wystawienia ważnej certyfikacji tożsamości lub delegacji zaufania, co skutkowało przypisaniem tych działań do klucza głównego.
- CVE-2026-71883Wysokie
W Bouncy Castle dla Java LTS przed wersją 2.73.13, natywne szyfry pakietowe dla AES-CBC, CCM, CFB, CTR, GCM i GCM-SIV zwalniały tablice klucza, IV i dodatkowych danych uwierzytelniających za pomocą JNI ReleaseByteArrayElements w trybie 0, co powodowało skopiowanie danych z powrotem do tablicy Java. Gdy aplikacja używała tej samej tablicy jako wejścia i wyjścia (np. szyfrowanie w miejscu na kluczu), późniejsze zwolnienie w trybie 0 nadpisywało zaszyfrowane dane oryginalnym kluczem, co prowadziło do ujawnienia klucza zamiast szyfrogramu. Poprawka polega na zwalnianiu tablic wejściowych z JNI_ABORT, aby nie kopiować ich z powrotem.
- CVE-2026-71885Krytyczne
W Bouncy Castle dla Java przed wersją 1.86, implementacja Messaging Layer Security (MLS, RFC 9420) nie wiązała poświadczenia X.509 z kluczem podpisu (signature_key) w węźle liścia (LeafNode). LeafNode.verify() sprawdzał podpis liścia względem klucza podpisu zawartego w samym liściu, podczas gdy łańcuch certyfikatów X.509 w poświadczeniu był przechowywany, ale nigdy nie analizowany ani walidowany, więc klucz publiczny certyfikatu końcowego nie musiał odpowiadać signature_key, jak wymaga RFC 9420 sek. 5.3. Atakujący mógł przedstawić cudzy certyfikat jako swoje poświadczenie, podpisując liść i zawierający go KeyPackage niezwiązanym kluczem, i zostać zaakceptowanym pod tożsamością ofiary przez KeyPackage.verify() oraz ścieżkę walidacji liści grupy.
- CVE-2026-58062Krytyczne
W Bouncy Castle dla Java przed wersją 1.85, odpowiedź OCSP zszyta (Stapled OCSP) jest akceptowana bez powiązania ze sprawdzanym certyfikatem. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed 2.0.2 (seria 2.0.X) i 2.1.3 (seria 2.1.X).
- CVE-2026-8763Krytyczne
W Bouncy Castle dla Java przed wersją 1.85, ograniczenia nazw (Name Constraints) mogą być ominięte poprzez kropkę na końcu w rfc822Name i URI. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami.
- CVE-2026-59650Krytyczne
W Bouncy Castle dla Java przed wersją 1.85, uzgadnianie klucza Diffie-Hellmana MTI/A0 potęguje niezweryfikowaną wartość od partnera. Problem dotyczy również wersji LTS przed 2.73.12.
- CVE-2026-17508Średnie
W Bouncy Castle dla Javy przed wersją 1.86, kilka punktów wejścia do wyprowadzania kluczy na podstawie hasła uruchamiało KDF z parametrami kosztu pobranymi z niezaufanego wejścia, bez ich ograniczania, co pozwalało małemu wejściu wymusić dowolną ilość pracy przed odrzuceniem przez hasło lub kontrolę integralności. Dotknięte ścieżki to konstruktory kalkulatora MAC PBMAC1 RFC 9579, parametr równoległości scrypt p w osłonach kosztu PKCS#8 i PKCS#12, surowy dostawca PBKDF2 JCA oraz liczba rund bcrypt odczytana z własnych kdfoptions prywatnego klucza OpenSSH v1. Każdy z nich teraz ogranicza parametr przed wyprowadzeniem, zgodnie z limitami zastosowanymi już w innych miejscach drzewa, z liczbą rund OpenSSH konfigurowalną przez nową właściwość org.bouncycastle.openssh.max_rounds. To uzupełnia ograniczenia rozpoczęte w wersji 1.85 dla deszyfratorów PKCS#8 / PBES2 (CVE-2026-15055). Problem dotyczy również Bouncy Castle dla Javy LTS przed 2.73.13 oraz Bouncy Castle dla Javy FIPS (BC-FJA) przed bcpkix-fips 1.0.13 (seria 1.0.X), 2.0.13 (seria 2.0.X) i 2.1.13 (seria 2.1.X).
- CVE-2026-14682Wysokie
W Bouncy Castle dla Java przed wersją 1.85, możliwe jest wyczerpanie pamięci (OOM) z powodu nieograniczonej alokacji przy odczycie o określonej długości. Problem dotyczy również wersji LTS i FIPS.
Oryginalny opis (angielski, źródło NVD)
In Bouncy Castle for Java before 1.86, BLS12_381BasicScheme.keyValidate, and so BLSPublicKeyParameters and every BasicScheme, MessageAugmentation and ProofOfPossession verify and aggregateVerify that gate on it, accepted a public key built on a foreign ECCurve that merely shares BLS12-381's field characteristic. The prime-order subgroup check trusts a point's own curve to name its cofactor, since ECPoint.satisfiesOrder returns true outright when the curve's cofactor is one, so a point on a curve with a different equation and a cofactor forged to one passed keyValidate despite not being a G1 point at all. In BC's pairing implementation such a point contributes the identity in the target group, so an aggregate signature verified against a set of public keys including it is accepted even though it contains no signature for that key and message pair, admitting a phantom signer. keyValidate now first confirms that the point's curve carries exactly the canonical G1 field, equation, order and cofactor before any subgroup check. The issue is reachable only where an application constructs an ECPoint on an explicit, non-canonical curve and accepts it as an authority-bearing key; the standard 48-byte compressed-point decoder always supplies the canonical curve and was never affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS