CVE-2026-71889

Nome do Software Vulnerável e Versões Afetadas Bouncy Castle for Java versões anteriores a 1.86 Bouncy Castle for Java LTS versões anteriores a 2.73.13 Bouncy Castle for Java FIPS (BC-FJA) bcpkix-fips versões anteriores a 1.0.13 Bouncy Castle for Java FIPS (BC-FJA) bcpkix-fips versões anteriores a 2.0.13 Bouncy Castle for Java FIPS (BC-FJA) bcpkix-fips versões anteriores a 2.1.13

Description Tanto o org.bouncycastle.pkix.jcajce.PKIXCertPathReviewer quanto o legado org.bouncycastle.x509.PKIXCertPathReviewer não aplicam as restrições de nome X.509 ao certificado de entidade final. Isso ocorre porque a função checkNameConstraints() processa o caminho do certificado usando um limite de loop que exclui o índice zero, que representa o certificado alvo. Consequentemente, as verificações de subárvores permitidas e excluídas não são executadas contra o DN do assunto do certificado folha ou seu subjectAltName. Isso permite que uma cadeia de certificados seja validada como verdadeira mesmo que a folha viole as restrições de nome impostas por sua CA emissora, levando potencialmente uma aplicação a aceitar um certificado que a CA não estava autorizada a emitir.

Recommendations Atualize o Bouncy Castle for Java para a versão 1.86 ou posterior. Atualize o Bouncy Castle for Java LTS para a versão 2.73.13 ou posterior. Atualize o Bouncy Castle for Java FIPS (BC-FJA) bcpkix-fips série 1.0.X para a versão 1.0.13 ou posterior. Atualize o Bouncy Castle for Java FIPS (BC-FJA) bcpkix-fips série 2.0.X para a versão 2.0.13 ou posterior. Atualize o Bouncy Castle for Java FIPS (BC-FJA) bcpkix-fips série 2.1.X para a versão 2.1.13 ou posterior.