Podatności Bouncy Castle

W Bouncy Castle dla Java przed wersją 1.85, odpowiedź OCSP zszyta (Stapled OCSP) jest akceptowana bez powiązania ze sprawdzanym certyfikatem. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed 2.0.2 (seria 2.0.X) i 2.1.3 (seria 2.1.X).

W Bouncy Castle dla Java przed wersją 1.85, ograniczenia nazw (Name Constraints) mogą być ominięte poprzez kropkę na końcu w rfc822Name i URI. Problem dotyczy również wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, uzgadnianie klucza Diffie-Hellmana MTI/A0 potęguje niezweryfikowaną wartość od partnera. Problem dotyczy również wersji LTS przed 2.73.12.

W Bouncy Castle dla Java przed wersją 1.85, możliwe jest wyczerpanie pamięci (OOM) z powodu nieograniczonej alokacji przy odczycie o określonej długości. Problem dotyczy również wersji LTS i FIPS.

W Bouncy Castle dla Java przed wersją 1.85, ograniczenie liczby iteracji KDF dla MAC i deszyfrowania worków PKCS#12 może prowadzić do DoS. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, leniwa sekwencja ASN.1 (Lazy ASN.1 sequence) wymusza resetowanie strażnika głębokości zagnieżdżenia. Problem dotyczy również wersji LTS i FIPS.

W Bouncy Castle dla Java przed wersją 1.85, weryfikacja podpisu RSA PKCS#1 pomija dwa ostatnie bajty skrótu w ścieżce z pominiętym NULL. Problem dotyczy również wersji LTS przed 2.73.12.

W Bouncy Castle dla Java przed wersją 1.85, dekoder MLS (Message Layer Security) alokuje pamięć o długości zadeklarowanej przez atakującego przed sprawdzeniem granic.

W Bouncy Castle dla Java przed wersją 1.85, deszyfrowanie OpenPGP AEAD pomija końcowy tag na danych wyrównanych do rozmiaru bloku. Problem dotyczy również wersji LTS i FIPS.

W Bouncy Castle dla Java przed wersją 1.85, silnik IES w trybie strumieniowym umożliwia fałszowanie MAC poprzez podział KDF zależny od długości. Problem dotyczy również wersji LTS przed 2.73.12.

W Bouncy Castle dla Java przed wersją 1.85, tryb KCCMBlockCipher MAC nie wiąże nonce, gdy brakuje AAD, co umożliwia fałszerstwo AEAD między nonce. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12.

W Bouncy Castle dla Java przed wersją 1.85, CMS AuthEnvelopedData nie wymusza sprawdzania długości tagu podczas deszyfrowania. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, ładowanie magazynu kluczy BCFKS honoruje nieograniczony koszt KDF z niezaufanego pliku. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, tryby rodziny CCM zapisują jawny tekst do bufora wywołującego przed sprawdzeniem tagu. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, liczba poziomów klucza publicznego HSS jest nieograniczona, co umożliwia ogromną alokację pamięci podczas weryfikacji. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, konwersja X.500 distinguished names na string ma złożoność kwadratową, co prowadzi do nadmiernego czasu przetwarzania. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85 wykryto podatność na wstrzykiwanie filtrów LDAP w przestarzałym komponencie LDAPStoreHelper (jdk1.4).

W Bouncy Castle dla Java przed wersją 1.85, magazyn kluczy BKS akceptuje legacy wersję z 16-bitowym kluczem MAC integralności. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12.

W Bouncy Castle dla Java przed wersją 1.85, długość subpakietu atrybutów użytkownika OpenPGP jest ograniczona tylko przez maksymalną pamięć JVM. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, funkcja OpenPGP Argon2 S2K akceptuje kontrolowaną przez atakującego pamięć i hasła. Problem dotyczy także wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami bcpg-fips.

W Bouncy Castle dla Java przed wersją 1.85, funkcja CRMF/CMP password-MAC honoruje nieograniczoną liczbę iteracji. Problem dotyczy także wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami bcpkix-fips.

W Bouncy Castle dla Java przed wersją 1.85, reassembler uzgadniania DTLS alokuje bufor na podstawie niesprawdzonej 24-bitowej długości. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, parser OER nie ogranicza głębokości rekurencji dla samoodnoszącego się schematu IEEE 1609.2. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed określonymi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, implementacja MLS hash-ratchet honoruje dowolny 32-bitowy licznik generacji od nadawcy.

W Bouncy Castle dla Java przed wersją 1.85, błędy polityki podpisu inline OpenPGP są cicho ignorowane. Problem dotyczy również Bouncy Castle dla Java FIPS (BC-FJA) przed bcpg-fips 2.0.13.

W Bouncy Castle dla Java przed wersją 1.85, zawartość CMS AuthenticatedData nie jest powiązana z MAC, gdy obecne są authAttrs. Problem dotyczy również Bouncy Castle dla Java LTS przed 2.73.12 oraz BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, walidator S/MIME ufa podpisowi czasu (signingTime) zadeklarowanemu przez podpisującego przy walidacji ścieżki. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, wyrocznia szybkiego sprawdzania CFB OpenPGP jest aktywna na ścieżkach kluczy symetrycznych/sesyjnych. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, metoda CMS verifySignatures zwraca true dla SignedData z zerową liczbą podpisów. Problem dotyczy również LTS przed 2.73.12 i BC-FJA przed odpowiednimi wersjami.

W Bouncy Castle dla Java przed wersją 1.85, weryfikator nazwy hosta JSSE domyślnie włącza fallback do CN (Common Name), mimo że dokumentacja wskazuje na opcjonalność. Problem dotyczy również wersji LTS i FIPS.

W Bouncy Castle dla Java przed wersją 1.85, deszyfratory PKCS#8 / PBES2 honorują nieograniczony koszt KDF pochodzący z danych wejściowych. Problem dotyczy także wersji LTS przed 2.73.12 oraz FIPS przed odpowiednimi wersjami bcpkix-fips.

W Bouncy Castle dla Java przed wersją 1.85, magazyn kluczy BKS/UBER alokuje pamięć na podstawie niezaufanych długości przed sprawdzeniem integralności. Problem dotyczy również LTS przed 2.73.12.

W bibliotece Bouncy Castle dla Javy (wersje od 1.73 do 1.78) trzy funkcje ML-KEM (CRYSTALS-Kyber) dzielą współczynniki wielomianów przez moduł q, co umożliwia atakującemu mierzącemu czas dużej liczby deszyfrowań z tym samym kluczem prywatnym odzyskanie tego klucza. Dotyczy to funkcji Poly.toMsg (KyberSlash1) oraz funkcji kompresji szyfrogramu (KyberSlash2).

Podatność w bibliotekach BC-LTS i BC-FJA firmy Legion of the Bouncy Castle na platformach X86_64 z rozszerzeniami AVX i AVX-512f w systemie Linux. Problem dotyczy plików programów gcm128w, gcm512w, gcm128w.C i gcm512w.C.

W bibliotekach Bouncy Castle (BC-JAVA, BCPKIX-FIPS, BCPIX-LTS) w modułach pkix wykryto użycie uszkodzonego lub ryzykownego algorytmu kryptograficznego. Podatność dotyczy plików JcaContentVerifierProviderBuilder.Java i JcaContentVerfierProviderBuilder.Java.