Bouncy Castle BC-JAVA: Denial of Service in MLS-Mitgliedschaftsprüfung
Zusammenfassung
Das MLS-Modul von Bouncy Castle für Java vergleicht einen uint32-Leaf-Index als Vorzeichenwert, sodass ein Absender ausserhalb des gültigen Bereichs die Mitgliedschaftsprüfung besteht. Ein aktuelles Mitglied einer MLS-Gruppe kann mit einer einzelnen, kleinen, manipulierten Nachricht bewirken, dass die JVM eine Knotenliste bis zur Erschöpfung des Heaps vergrössert, was die übrigen Gruppenmitglieder vom Dienst ausschliesst. Die Schwachstelle betrifft nur Umgebungen, in denen das MLS-Modul verwendet wird.
Betroffen
- Bouncy Castle für Java (bc-java) ab 1.73 bis vor 1.86
- Versionen vor 1.73: Unbekannt.
- Nur Anwendungen, die das Modul org.bouncycastle.mls verwenden, sind betroffen.
Behoben in
- Behoben in bc-java 1.86 (Fix-Commit 1eb83471eb01727bfdb944a5a46355cc77d55f44).
- Genaue gepatchte Versionen der Distributionspakete: Unbekannt. Bitte beim Hersteller oder im Paketkanal der Distribution prüfen.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Falls das MLS-Modul nicht verwendet wird, aus dem Classpath entfernen.
- Falls MLS verwendet wird und das Update verzögert ist, die Verarbeitung von MLS-Nachrichten auf vertrauenswürdige Gruppenmitglieder beschränken und die JVM-Heap-Auslastung auf OutOfMemoryError-Ereignisse überwachen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS ist niedrig (etwa 0.003 bis 0.004 in den geprüften Quellen).
Unsere Empfehlung
- Java-Anwendungen mit bc-java-Versionen 1.73 bis 1.85 inventarisieren und prüfen, ob MLS verwendet wird (z. B. bcmls-Artefakte in Maven- oder Gradle-Abhängigkeitsbäumen).
- Wo MLS verwendet wird, auf bc-java 1.86 oder neuer aktualisieren und internetexponierte Dienste priorisieren.
- Wo MLS nicht verwendet wird, sicherstellen, dass es nicht im Classpath liegt, oder die Risikoakzeptanz dokumentieren.
- Nach dem Patchen die JVM-Heap-Auslastung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Bouncy Castle wiki: CVE-2026-17507 github.com
- Fix commit 1eb83471eb01727bfdb944a5a46355cc77d55f44 github.com
- Bouncy Castle 1.86 release notes www.bouncycastle.org
- NVD: CVE-2026-17507 nvd.nist.gov
- Red Hat CVE page: CVE-2026-17507 access.redhat.com
- Amazon Linux advisory: CVE-2026-17507 explore.alas.aws.amazon.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.