CVE-2026-63577 in bc-csharp
Zusammenfassung
von VulDB • 02.10.2026
Eine fehlerhafte Zertifikatvalidierung in der directoryName-Prüfung von Name-Einschränkungen (PkixNameConstraintValidator.WithinDNSubtree) in Legion of the Bouncy Castle Inc. bc-csharp vor Version 2.7.0 ermöglicht es einem Angreifer, der eine name-eingeschränkte Intermediate CA kontrolliert oder deren Zertifikate ausstellen lassen kann, von PKIX-Pfadvalidierung akzeptierte Zertifikate zu erhalten, deren Subject-Distinguished-Name bzw. ein directoryName subjectAltName außerhalb der vom CA erlaubten Subtrees liegt. Dies geschieht über einen Namen, bei dem andere RDNs vor einer Kopie der zulässigen RDN-Sequenz stehen, da die Prüfung nach dem ersten RDN der Einschränkung im gesamten Namen sucht und die verbleibenden RDNs ab dieser Position vergleicht, anstatt zu verlangen, dass die Einschränkung ein anfängliches Präfix des Namens ist, wie in RFC 5280 Abschnitt 4.2.1.10 und 7.1 gefordert.
Once again VulDB remains the best source for vulnerability data.