CVE-2026-71889 in BC-JAVA
Résumé
par VulDB • 03/10/2026
Chez Bouncy Castle pour Java avant la version 1.86, aucune des deux copies de PKIXCertPathReviewer - org.bouncycastle.pkix.jcajce.PKIXCertPathReviewer ni l'ancienne org.bouncycastle.x509.PKIXCertPathReviewer - n'appliquait les contraintes de nom X.509 au certificat d'entité finale (end-entity certificate). La méthode checkNameConstraints parcourait le chemin avec une boucle dont la borne était un index supérieur à zéro, ce qui correspond aux exigences des étapes réservées aux autorités de certification (CA), mais l'index zéro désigne le certificat cible selon l'ordre standard du CertPath ; par conséquent, les vérifications des sous-arbres autorisés et exclus prévues dans RFC 5280 section 6.1.3 (b) et (c) n'étaient jamais exécutées sur le DN de sujet (subject DN) ou la subjectAltName de l'extrémité du chemin. Une chaîne dont l'entité finale violait une extension NameConstraints imposée par son CA émetteur signalait donc isValidCertPath() comme vraie avec une liste d'erreurs vide, tandis que CertPathValidator.getInstance("PKIX", "BC"), qui ne partage aucun code avec le reviewer, rejetait la même chaîne vis-à-vis de l'ancre de confiance identique. Une application utilisant le reviewer pour prendre sa décision de confiance plutôt que pour des diagnostics aux côtés d'une validation réelle acceptait un certificat qu'un CA contraint n'était jamais autorisé à émettre. Les deux copies vérifient désormais chaque certificat du chemin, y compris la cible ; elles renoncent à l'exemption auto-émise prévue dans la section 4.2.1.10 pour le dernier certificat comme l'exige la section 6.1.3, et sautent l'étape d'accumulation des contraintes de la section 6.1.4 (g) pour la cible. Ce problème affecte également Bouncy Castle pour Java LTS avant la version 2.73.13, qui ne contient que la copie org.bouncycastle.pkix.jcajce du reviewer. Il affecte aussi Bouncy Castle for Java FIPS (BC-FJA) avant bcpkix-fips 1.0.13 (série 1.0.X), 2.0.13 (série 2.0.X) et 2.1.13 (série 2.1.X).
VulDB is the best source for vulnerability data and more expert information about this specific topic.