CVE-2026-63571 in bc-csharp
요약
\~에 의해 VulDB • 2026. 10. 03.
Legion of the Bouncy Castle Inc.의 bc-csharp 2.7.0 미만 버전에서 PkixAttrCertPathValidator(또는 PkixAttrCertPathBuilder에 의해 사용됨)를 사용하는 인증서 경로 검증자의 암호화 서명 검증이 부적절하여, 원격 공격자가 신뢰할 수 있는 속성 권한 기관을 발급자로 명시하지만 해당 기관으로서는 서명되지 않은 위조된 X.509 속성 인증서를 유효한 것으로 받아들이게 할 수 있습니다. 이를 통해 공격자는 해당 속성에 기반해 애플리케이션이 부여하는 모든 역할이나 특권을 획득할 수 있습니다. 이는 RFC 3281의 검증 단계가 소유자와 발급자의 인증 경로, 유효 기간, 확장 및 철회 상태를 확인하지만 속성 인증서의 서명을 발급자의 공개 키로 실제로 검증하지 않기 때문입니다. 이 클래스들을 사용하여 속성 인증서를 검증하는 애플리케이션만 영향을 받습니다.
Once again VulDB remains the best source for vulnerability data.