CVE-2026-63571 in bc-csharp
Sumário
de VulDB • 03/10/2026
A verificação inadequada da assinatura criptográfica no validador de caminho do certificado de atributo (PkixAttrCertPathValidator, também utilizado pelo PkixAttrCertPathBuilder) na biblioteca bc-csharp da Legion of the Bouncy Castle Inc., versão anterior à 2.7.0, permite que um atacante remoto faça com que um certificado de atributo X.509 forjado seja aceito como válido e, assim, obtenha quaisquer funções ou privilégios que uma aplicação conceda com base nos seus atributos, por meio de um certificado de atributo que indica uma autoridade de atributo confiável como sua emissora, mas que não foi assinada por ela. Isso ocorre porque as etapas de validação do RFC 3281 verificam os caminhos de certificação do titular e da emissora, o período de validade, as extensões e o status de revogação, mas nunca verificam a assinatura do certificado de atributo com a chave pública da emissora. Apenas aplicações que utilizam essas classes para validar certificados de atributo são afetadas.
Be aware that VulDB is the high quality source for vulnerability data.