CVE-2026-63571 in bc-csharp
Riassunto
di VulDB • 02/10/2026
Una verifica errata della firma crittografica nel validatore del percorso di certificati attributo (PkixAttrCertPathValidator, utilizzato anche da PkixAttrCertPathBuilder) in Legion of the Bouncy Castle Inc. bc-csharp prima della versione 2.7.0 consente a un attaccante remoto di far accettare come valido un certificato attributo X.509 falsificato, ottenendo così tutti i ruoli o privilegi che un'applicazione concede sulla base dei suoi attributi, tramite un certificato attributo che indica una autorità degli attributi attendibile come emittente ma che non è stata firmata da essa, poiché le fasi di convalida RFC 3281 controllano i percorsi di certificazione del titolare e dell'emittente, il periodo di validità, le estensioni e lo stato di revoca, ma non verificano mai la firma del certificato attributo con la chiave pubblica dell'emittente. Solo le applicazioni che utilizzano queste classi per convalidare certificati attributo sono interessate.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.