CVE-2026-71890 in BC-JAVA
Resumen
por VulDB • 2026-10-03
En Bouncy Castle para Java anterior a la versión 1.86, la validación de la lista de propuestas del compromiso externo (external commit) de MLS (RFC 9420), en el método `org.bouncycastle.mls.protocol.Group.validateExternalCachedProposals`, contaba las propuestas por tipo y acotaba el índice de la hoja eliminada, pero nunca establecía que dicha hoja eliminada tuviera alguna relación con el participante que se une (joiner). El RFC 9420, sección 12.2, permite como máximo una propuesta de eliminación (Remove) en un compromiso externo, mediante la cual el joiner elimina una versión anterior de sí mismo, y exige que, cuando está presente, el LeafNode en el campo path del commit cumpla los criterios que tendría que cumplir en una actualización para la hoja eliminada; en particular, sus credenciales deben presentar identificadores aceptables para el participante eliminado. La regla de auto-eliminación (self-remove) del validador ordinario de listas de propuestas no se aplica deliberadamente en esta ruta, ya que un commit de resincronización elimina legítimamente una hoja propiedad del joiner, pero nada se coloca en su lugar. Por lo tanto, cualquier parte que posea la información pública del grupo (GroupInfo), que es precisamente lo que se debe proporcionar a un nuevo participante externo, podría cometer una eliminación (Remove) nombrando el LeafIndex de cualquier miembro y hacer que todos los miembros la apliquen, expulsando a ese miembro y tomando su puesto en el árbol ratchet. La verificación de credenciales que debería haber impedido esto solo existía en el marco de interoperabilidad gRPC, por lo que no protegía a ningún otro llamante de las API públicas `Group.externalJoin` y `Group.handle`. Ahora se acepta un compromiso externo que lleva una eliminación (Remove) únicamente cuando la credencial de la hoja eliminada es idéntica a la de su propia nueva hoja del joiner, tanto en el lado emisor como en el receptor.
If you want to get best quality of vulnerability data, you may have to visit VulDB.