bc-csharp: Bleichenbacher-Padding-Orakel beim CMS-RSA-PKCS#1-v1.5-Unwrap

Zusammenfassung

Die CMS-EnvelopedData-Entschlüsselung in bc-csharp (BouncyCastle.Cryptography) vor Version 2.7.0 weist RSA-PKCS#1-v1.5-Schlüsseltransport-Chiffrate mit ungültigem Padding mit einem anderen Fehler ab als korrekt gepaddete Chiffrate, die erst bei der Inhaltsentschlüsselung fehlschlagen. Eine Anwendung, die Nachrichten von nicht vertrauenswürdigen Absendern entschlüsselt und diesen Unterschied preisgibt, wirkt als Padding-Orakel. Ein Angreifer, der eine abgefangene Nachricht besitzt und viele veränderte Nachrichten (typischerweise tausende bis Millionen) einreichen kann, kann den Content-Encryption-Key wiederherstellen und die Nachricht lesen; der private RSA-Schlüssel wird nicht offengelegt. Der CVSS-v4.0-Basiswert ist 8.2 (High), die Auswirkung beschränkt sich auf die Vertraulichkeit.

Betroffen

• bc-csharp (BouncyCastle.Cryptography) Versionen 0 bis vor 2.7.0
• Anwendungen, die CMS-EnvelopedData oder AuthenticatedData mit rsaEncryption-Schlüsseltransport-Empfängern entschlüsseln
• Das Herstellerwiki nennt 2.6.2 und früher sowie 2.7.0-beta.98 als betroffen

Behoben in

• Behoben in bc-csharp 2.7.0

Umgehung

• Das Aktualisieren ist die Behebung; der CVE-Eintrag nennt keine Workaround-Massnahme.
• Falls ein Update nicht sofort möglich ist und alle Absender RSA-OAEP oder Schlüsselvereinbarung verwenden, Empfänger mit KeyEncryptionAlgOid rsaEncryption (1.2.840.113549.1.1.1) vor dem Aufruf von GetContent oder GetContentStream ablehnen.
• Alle Entschlüsselungsfehler identisch und ohne Details an den Absender behandeln und melden.
• Die Einstellung Org.BouncyCastle.Cms.AllowLenientRsaPkcs1 muss auf dem Standardwert false bleiben; das Aktivieren stellt das verwundbare Verhalten wieder her.

Ausnutzung

• Nicht bekanntermassen ausgenutzt; nicht im CISA-KEV-Katalog.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung partial.
• EPSS 0.00308 (sehr tief).
• Bei begrenzter Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Anwendungen identifizieren, die BouncyCastle.Cryptography einbetten (Softwareinventare und SBOMs auf Versionen vor 2.7.0 prüfen).
• Prüfen, ob diese Anwendungen CMS- oder S/MIME-Nachrichten von nicht vertrauenswürdigen Absendern entschlüsseln.
• Auf bc-csharp 2.7.0 oder neuer aktualisieren, Dienste mit CMS-Nachrichten externer Absender zuerst.
• Bis zur Aktualisierung sicherstellen, dass Entschlüsselungsfehler nicht an Absender gemeldet werden, und einschränken, wer Nachrichten an solche Endpunkte senden kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor wiki advisory CVE-2026-63573 github.com
• Fix commit: constant-time unwrap with random-key fallback github.com
• Fix commit: constant-time RSA PKCS#1 v1.5 helper github.com
• OSV entry CVE-2026-63573 osv.dev
• BouncyCastle.Cryptography on NuGet www.nuget.org
• Bouncy Castle C# 2.7.0 release notes www.bouncycastle.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:28.