CVE-2026-71892
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Bouncy Castle dla Java przed wersją 1.86, opcjonalna walidacja rozmiaru klucza dla odbiorców CMS key-transport (JceKeyTransRecipient.setKeySizeValidation(true)) nie działała dla wiadomości używających RFC 9709 (id-alg-cek-hkdf-sha256). Błąd w porównaniu (tablica bajtów z OID) powodował pominięcie sprawdzenia rozmiaru klucza, przez co akceptowano klucze o niewłaściwym rozmiarze. Problem dotyczy również BC-FJA przed bcpkix-fips 2.0.13 i 2.1.13.
Ocena ryzyka
Organizacja może przyjąć zaszyfrowaną wiadomość z kluczem treści o rozmiarze niezgodnym z algorytmem szyfrowania, co osłabia bezpieczeństwo kryptograficzne i może umożliwić atakującemu narzucenie słabszego klucza, nawet gdy walidacja jest jawnie włączona.
Rekomendacja
Zaktualizuj Bouncy Castle do wersji 1.86 lub nowszej (dla BC-FJA: bcpkix-fips 2.0.13+/2.1.13+). Po aktualizacji przetestuj scenariusze z HKDF, aby upewnić się, że walidacja rozmiaru klucza działa poprawnie.
Inne podatności w Bouncy Castle
Zobacz wszystkie- CVE-2026-71885Krytyczne
W Bouncy Castle dla Java przed wersją 1.86, implementacja Messaging Layer Security (MLS, RFC 9420) nie wiązała poświadczenia X.509 z kluczem podpisu (signature_key) w węźle liścia (LeafNode). LeafNode.verify() sprawdzał podpis liścia względem klucza podpisu zawartego w samym liściu, podczas gdy łańcuch certyfikatów X.509 w poświadczeniu był przechowywany, ale nigdy nie analizowany ani walidowany, więc klucz publiczny certyfikatu końcowego nie musiał odpowiadać signature_key, jak wymaga RFC 9420 sek. 5.3. Atakujący mógł przedstawić cudzy certyfikat jako swoje poświadczenie, podpisując liść i zawierający go KeyPackage niezwiązanym kluczem, i zostać zaakceptowanym pod tożsamością ofiary przez KeyPackage.verify() oraz ścieżkę walidacji liści grupy.
- CVE-2026-58062Krytyczne
W Bouncy Castle dla Java przed wersją 1.85, odpowiedź OCSP zszyta (Stapled OCSP) jest akceptowana bez powiązania ze sprawdzanym certyfikatem. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed 2.0.2 (seria 2.0.X) i 2.1.3 (seria 2.1.X).
- CVE-2026-8763Krytyczne
W Bouncy Castle dla Java przed wersją 1.85, ograniczenia nazw (Name Constraints) mogą być ominięte poprzez kropkę na końcu w rfc822Name i URI. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami.
- CVE-2026-59650Krytyczne
W Bouncy Castle dla Java przed wersją 1.85, uzgadnianie klucza Diffie-Hellmana MTI/A0 potęguje niezweryfikowaną wartość od partnera. Problem dotyczy również wersji LTS przed 2.73.12.
- CVE-2026-85515Wysokie
W Bouncy Castle dla Java przed wersją 1.86 stwierdzono podatność polegającą na akceptowaniu obciętych wiadomości OpenPGP bez zgłaszania błędu. W ścieżce SEIPD wersji 1 nie przeprowadzano żadnej kontroli integralności, a w ścieżce AEAD (SEIPD v2 i v5) pomijano tag uwierzytelniający, co skutkowało cichym odrzuceniem pakietów po literale. Problem dotyczy również wersji LTS przed 2.73.13 oraz FIPS (BC-FJA) przed wskazanymi wersjami, ale tylko w ścieżce AEAD.
- CVE-2026-71891Wysokie
W bibliotece Bouncy Castle for Java przed wersją 1.86 funkcja BLS12_381BasicScheme.keyValidate akceptowała klucze publiczne zbudowane na obcej krzywej ECC, która jedynie dzieli charakterystykę pola z BLS12-381. Pozwalało to na weryfikację zagregowanych podpisów zawierających fałszywego sygnatariusza, mimo braku podpisu dla danej pary klucz-wiadomość.
- CVE-2026-71889Wysokie
W Bouncy Castle dla Java przed wersją 1.86, obie kopie klasy PKIXCertPathReviewer (org.bouncycastle.pkix.jcajce oraz starsza org.bouncycastle.x509) nie stosowały ograniczeń nazw X.509 do certyfikatu końcowego (liścia). Sprawdzenie checkNameConstraints pomijało indeks zero (certyfikat docelowy), przez co testy poddrzew dozwolonych i wykluczonych z RFC 5280 sek. 6.1.3 (b) i (c) nie były wykonywane dla nazwy subject DN i subjectAltName liścia. W rezultacie łańcuch z naruszonymi ograniczeniami nazw był raportowany jako prawidłowy (isValidCertPath() zwracało true z pustą listą błędów), podczas gdy CertPathValidator odrzucał ten sam łańcuch.
- CVE-2026-71886Wysokie
W bibliotece Bouncy Castle dla Javy przed wersją 1.86, wysokopoziomowe API OpenPGP akceptowało certyfikację lub delegację zaufania od dowolnego klucza składowego certyfikatu wydającego, bez wymogu posiadania przez ten klucz uprawnienia do certyfikowania. Atakujący mógł wykorzystać podklucz z ograniczonymi uprawnieniami (np. tylko do podpisywania lub szyfrowania) do wystawienia ważnej certyfikacji tożsamości lub delegacji zaufania, co skutkowało przypisaniem tych działań do klucza głównego.
- CVE-2026-71883Wysokie
W Bouncy Castle dla Java LTS przed wersją 2.73.13, natywne szyfry pakietowe dla AES-CBC, CCM, CFB, CTR, GCM i GCM-SIV zwalniały tablice klucza, IV i dodatkowych danych uwierzytelniających za pomocą JNI ReleaseByteArrayElements w trybie 0, co powodowało skopiowanie danych z powrotem do tablicy Java. Gdy aplikacja używała tej samej tablicy jako wejścia i wyjścia (np. szyfrowanie w miejscu na kluczu), późniejsze zwolnienie w trybie 0 nadpisywało zaszyfrowane dane oryginalnym kluczem, co prowadziło do ujawnienia klucza zamiast szyfrogramu. Poprawka polega na zwalnianiu tablic wejściowych z JNI_ABORT, aby nie kopiować ich z powrotem.
- CVE-2026-17508Średnie
W Bouncy Castle dla Javy przed wersją 1.86, kilka punktów wejścia do wyprowadzania kluczy na podstawie hasła uruchamiało KDF z parametrami kosztu pobranymi z niezaufanego wejścia, bez ich ograniczania, co pozwalało małemu wejściu wymusić dowolną ilość pracy przed odrzuceniem przez hasło lub kontrolę integralności. Dotknięte ścieżki to konstruktory kalkulatora MAC PBMAC1 RFC 9579, parametr równoległości scrypt p w osłonach kosztu PKCS#8 i PKCS#12, surowy dostawca PBKDF2 JCA oraz liczba rund bcrypt odczytana z własnych kdfoptions prywatnego klucza OpenSSH v1. Każdy z nich teraz ogranicza parametr przed wyprowadzeniem, zgodnie z limitami zastosowanymi już w innych miejscach drzewa, z liczbą rund OpenSSH konfigurowalną przez nową właściwość org.bouncycastle.openssh.max_rounds. To uzupełnia ograniczenia rozpoczęte w wersji 1.85 dla deszyfratorów PKCS#8 / PBES2 (CVE-2026-15055). Problem dotyczy również Bouncy Castle dla Javy LTS przed 2.73.13 oraz Bouncy Castle dla Javy FIPS (BC-FJA) przed bcpkix-fips 1.0.13 (seria 1.0.X), 2.0.13 (seria 2.0.X) i 2.1.13 (seria 2.1.X).
Oryginalny opis (angielski, źródło NVD)
In Bouncy Castle for Java before 1.86, the opt-in key-size validation on CMS key-transport recipients, org.bouncycastle.cms.jcajce.JceKeyTransRecipient.setKeySizeValidation(true), never ran for a message using RFC 9709 content-encryption key derivation (id-alg-cek-hkdf-sha256). The branch that should have selected the actual content-encryption algorithm carried in the key derivation AlgorithmIdentifier's parameters compared the encrypted-key byte array against the id-alg-cek-hkdf-sha256 object identifier, a comparison between a byte array and an ASN1ObjectIdentifier that is false for every possible input, so the check fell through to a key-size lookup on the outer wrapper OID. That OID identifies a key-derivation construction rather than a cipher and has no registered key size, so the size comparison was skipped entirely. A key-transport EnvelopedData or AuthEnvelopedData whose transported, HKDF-derived content-encryption key did not match the key size of the advertised content-encryption algorithm was therefore accepted even with validation explicitly enabled, silently defeating the only mechanism the API offers for enforcing recovered key size. The recipient now dispatches on the content-encryption AlgorithmIdentifier's algorithm OID, so validation checks the recovered key against the inner content-encryption algorithm. Messages with a matching key size, non-HKDF messages, and recipients that do not enable validation are unaffected. This issue also affects Bouncy Castle for Java FIPS (BC-FJA) before bcpkix-fips 2.0.13 (2.0.X series) and 2.1.13 (2.1.X series).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS