CVE-2026-63571 in bc-csharp
要約
〜によって VulDB • 2026年10月02日
Legion of the Bouncy Castle Inc. の bc-csharp 2.7.0 より前のバージョンにおける、属性証明書パス検証機能（PkixAttrCertPathValidator。また PkixAttrCertPathBuilder でも使用される）の暗号署名に対する不適切な検証により、リモート攻撃者は偽造された X.509 属性証明書を有効なものとして受け入れさせ、その属性に基づいてアプリケーションが付与するあらゆる役割または特権を取得できる可能性があります。これは、発行者として信頼されている属性機関を名乗るが実際にはそれによって署名されていない属性証明書を通じて行われます。RFC 3281 の検証手順では、保持者および発行者の認証パス、有効期間、拡張機能、失効ステータスがチェックされますが、属性証明書の署名が発行者の公開鍵を用いて検証されることはありません。これらのクラスを使用して属性証明書を検証するアプリケーションのみが影響を受けます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.