BC-JAVA: Fehlende Berechtigungsprüfung im MLS-External-Commit erlaubt Entfernen von Mitgliedern
Zusammenfassung
Bouncy Castle für Java enthält einen Fehler in der Verarbeitung von MLS-External-Commits (RFC 9420). Eine externe Partei, die über die öffentlichen GroupInfo-Daten einer Gruppe verfügt, kann einen Remove-Vorschlag für beliebige Gruppenmitglieder senden. Das betroffene Mitglied wird dadurch entfernt, und der Angreifer kann dessen freigewordenen Platz übernehmen. Betroffen sind nur Anwendungen, die die MLS-API der Bibliothek nutzen; eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- BC-JAVA ab 1.73 bis und mit 1.85
- Gemäss CNA-Eintrag ist die Standardkonfiguration nicht betroffen
Behoben in
- BC-JAVA 1.86
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Falls ein Update verzögert wird, den Kreis der Personen einschränken, die die öffentlichen GroupInfo-Daten einer Gruppe abrufen können, da der Angriff davon abhängt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeiten, die Bouncy Castle verwenden, inventarisieren, einschliesslich transitiver Abhängigkeiten, und deren Versionen prüfen.
- Prüfen, ob ein Produkt die MLS-API nutzt; falls keines davon Gebrauch macht, ist das Risiko gering.
- Betroffene Komponenten auf BC-JAVA 1.86 oder einen Hersteller-Build mit dem Fix aktualisieren.
- Verteilung der GroupInfo-Daten bis zum Update einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Vendor CVE page (bc-java wiki) github.com
- Vendor fix commit 7e8bb10 github.com
- Bouncy Castle 1.86 release announcement www.bouncycastle.org
- OSV record CVE-2026-71890 osv.dev
- SUSE CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.