bc-csharp: Fehlende Signaturprüfung von Attribut-Zertifikaten
Zusammenfassung
Der Validator für Attribut-Zertifikatspfade in bc-csharp (PkixAttrCertPathValidator, auch von PkixAttrCertPathBuilder verwendet) prüft die Signatur eines X.509-Attribut-Zertifikats nicht mit dem öffentlichen Schlüssel des Ausstellers. Ein Angreifer kann ein gefälschtes Attribut-Zertifikat einreichen, das eine vertrauenswürdige Attributstelle als Aussteller nennt, und die Bibliothek meldet es als gültig. Dadurch kann es in Anwendungen, die Rollen oder Berechtigungen auf Basis validierter Attribut-Zertifikate vergeben, zu einer Rechteausweitung kommen; nur Anwendungen, die diese Klassen verwenden, sind betroffen.
Betroffen
- bc-csharp-Versionen 0 bis vor 2.7.0 (Angaben des CNA)
- BC C# .NET 2.6.2 und frühere sowie 2.7.0-beta.98 (Herstellerwiki)
- Plattform: alle CLRs
Behoben in
- BC C# .NET 2.7.0
Umgehung
- Auf BC C# .NET 2.7.0 oder neuer aktualisieren.
- Falls ein Update nicht möglich ist, Verify oder IsSignatureValid auf dem X509V2AttributeCertificate mit dem öffentlichen Schlüssel des Zertifikats der Attributstelle aufrufen und das Zertifikat bei Fehlschlag ablehnen.
- Alternativ einen PkixAttrCertChecker über PkixParameters.SetAttrCertCheckers registrieren; dies deckt auch PkixAttrCertPathBuilder ab.
Ausnutzung
- Unbekannt. Keine Berichte über Ausnutzung gefunden.
- Kein öffentlicher Proof-of-Concept-Code gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Code und SBOMs nach BouncyCastle.Cryptography sowie nach PkixAttrCertPathValidator oder PkixAttrCertPathBuilder durchsuchen.
- Falls der Codepfad verwendet wird, auf 2.7.0 oder neuer aktualisieren oder die oben beschriebene Signaturprüfung ergänzen.
- Falls der Codepfad nicht verwendet wird, den Befund als nicht zutreffend dokumentieren und die Advisory weiter beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Vendor wiki: CVE-2026-63571 github.com
- Fix commit c08f65e github.com
- OSV: CVE-2026-63571 osv.dev
- VulDB: CVE-2026-63571 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.