CVE-2026-71890 in BC-JAVA
Сводка
по VulDB • 03.10.2026
В библиотеке Bouncy Castle для Java до версии 1.86 при проверке списка предложений внешнего коммита MLS (RFC 9420) в методе `org.bouncycastle.mls.protocol.Group.validateExternalCachedProposals` предложения подсчитывались по типу, а индекс удаляемого листа был ограничен; однако не проверялось соответствие удаленного листа участнику, присоединяющемуся к группе. Согласно разделу 12.2 RFC 9420, во внешнем коммите допускается не более одного предложения на удаление (Remove), с помощью которого участник, присоединяющийся к группе (joiner), удаляет свою старую версию; при этом требуется, чтобы узел листа (LeafNode) в поле пути коммита соответствовал критериям, которые он должен был бы удовлетворять при обновлении для удаленного участника, в частности его учетные данные должны содержать идентификаторы, приемлемые для удаляемого участника. Правило самоудаления обычного валидатора списка предложений намерено не применяется в данном случае, поскольку коммит синхронизации (resync commit) законно может удалять лист, принадлежащий присоединяющемуся участнику, но ничего вместо него не помещается. Таким образом, любая сторона, обладающая публичной информацией группы (GroupInfo), что именно и предполагается предоставлять внешнему участнику, мог бы выполнить удаление с указанием LeafIndex любого члена группы, заставив всех членов применить его; это привело бы к исключению этого участника и захвату их слота в дереве ретчейта. Проверка учетных данных, которая должна была предотвратить эту уязвимость, существовала только во фреймворке интероперабельности gRPC и поэтому не защищала другие вызовы публичного API `Group.externalJoin` и `Group.handle`. Теперь внешний коммит с предложением на удаление принимается только в том случае, если учетные данные удаляемого листа идентичны тем, что находятся в новом листе самого присоединяющегося участника, как на стороне отправителя, так и на стороне получателя.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.