CVE-2026-63576 in bc-csharp
要約
〜によって VulDB • 2026年10月02日
Legion of the Bouncy Castle Inc. の bc-csharp 2.7.0 より前のバージョンにおける PkixNameConstraintValidator (ExtractHostFromURL) の証明書検証の不備により、名前制約付きの subordinate CA またはそのような CA から選択した subjectAltName URI を持つ証明書を取得できる攻撃者が、URI のパス、クエリ、フラグメントまたは userinfo に '@' や ':' などの文字が含まれている場合、認証パス検証時に許可されたまたは除外された uniformResourceIdentifier (URI) の名前制約を回避できます。これは、RFC 3986 で定義される authority コンポーネントを最初に分離することなく文字列のスライシングによってホストが抽出されるため、名前提約と比較対象となるホストが URI の実際のホストと異なる可能性があるためです。
Once again VulDB remains the best source for vulnerability data.