VDB-413001 · CVE-2026-63571 · WID-SEC-2026-3713

Legion of the Bouncy Castle bc-csharp bis 2.6.x Attribute Certificate Path Validator PkixAttrCertPathValidator/PkixAttrCertPathBuilder schwache Authentisierung

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
7.0	$0-$5k	0.69-

Zusammenfassunginfo

Eine Schwachstelle, die als kritisch eingestuft wurde, wurde in Legion of the Bouncy Castle bc-csharp bis 2.6.x gefunden. Es geht um die Funktion PkixAttrCertPathValidator/PkixAttrCertPathBuilder der Komponente Attribute Certificate Path Validator. Mit der Manipulation mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Die Identifikation der Schwachstelle findet als CVE-2026-63571 statt. Der Angriff kann über das Netzwerk angegangen werden. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine Schwachstelle in Legion of the Bouncy Castle bc-csharp bis 2.6.x entdeckt. Sie wurde als kritisch eingestuft. Hiervon betroffen ist die Funktion PkixAttrCertPathValidator/PkixAttrCertPathBuilder der Komponente Attribute Certificate Path Validator. Mittels Manipulieren mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-345 vorgenommen. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Improper verification of cryptographic signature in the attribute certificate path validator (PkixAttrCertPathValidator, also used by PkixAttrCertPathBuilder) in Legion of the Bouncy Castle Inc. bc-csharp before 2.7.0 allows a remote attacker to have a forged X.509 attribute certificate accepted as valid, and so obtain whatever roles or privileges an application grants on the strength of its attributes, via an attribute certificate that names a trusted attribute authority as its issuer but was not signed by it, because the RFC 3281 validation steps check the holder and issuer certification paths, validity period, extensions and revocation status but never verify the attribute certificate's signature with the issuer's public key. Only applications that use these classes to validate attribute certificates are affected.

Bereitgestellt wird das Advisory unter github.com. Die Identifikation der Schwachstelle wird seit dem 17.07.2026 mit CVE-2026-63571 vorgenommen. Sie gilt als leicht ausnutzbar. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.

Ein Aktualisieren auf die Version 2.7.0 vermag dieses Problem zu lösen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von CERT Bund (WID-SEC-2026-3713) dokumentiert. Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Betroffen

Open Source Bouncy Castle

Produktinfo

Hersteller

Legion of the Bouncy Castle

Name

bc-csharp

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 7.0

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-345
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: bc-csharp 2.7.0

Timelineinfo

17.07.2026 CVE zugewiesen
02.10.2026 +77 Tage Advisory veröffentlicht
02.10.2026 +0 Tage VulDB Eintrag erstellt
02.10.2026 +0 Tage VulDB Eintrag letzte Aktualisierung