Mobile-Menu

Zertifikatsprüfung in Java Bouncy Castle behebt Umgehung von Namensbeschränkungen

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Über eine Schwachstelle in Bouncy Castle können Cyberangreifer die Prüfung von Zertifikatsbeschränkungen umgehen. Betroffen sind mehrere Java- und FIPS-Versionen der Kryptografie-Bibliothek. Aktualisierte Versionen stehen bereit.

Bouncy Castle erkennt Namen mit abschließendem Punkt nicht als ausgeschlossen, zum Beispiel „ceo@bank.com.“ statt „ceo@bank.com“. Dadurch greift die Namensbeschränkung nicht, und Angreifer können sich mit einem solchen Zertifikat als diese Identität ausgeben.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Bouncy Castle erkennt Namen mit abschließendem Punkt nicht als ausgeschlossen, zum Beispiel „ceo@bank.com.“ statt „ceo@bank.com“. Dadurch greift die Namensbeschränkung nicht, und Angreifer können sich mit einem solchen Zertifikat als diese Identität ausgeben.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Bouncy Castle hat eine Schwachstelle behoben, durch die sich Namensbeschränkungen in Zertifikaten umgehen lassen. EUVD-2026-52020 / CVE-2026-8763 (CVSS-Score 9.3, EPSS-Score* 0.43) betrifft Bouncy Castle für Java, Java LTS und FIPS. Die Bibliothek stellt Kryp­to­gra­fie­funk­ti­o­nen für Java-Anwendungen bereit.

Beschränkte Zertifikatsnamen umgehen

Die Schwachstelle betrifft die Prüfung von E-Mail-Adressen und URI-Namen (Uniform Resource Identifier) in Zertifikaten. Der URI ist dafür zuständig, dass eine Ressource wie eine Webseite im Netz eindeutig adressiert werden kann. Über Namensbeschränkungen (excludedSubtrees) lässt sich festlegen, für welche Domains oder Adressen eine Zwischenzertifizierungsstelle keine Zertifikate ausstellen darf. Ist etwa „bank.com“ ausgeschlossen, gilt das für alle E-Mail-Adressen dieser Domain, zum Beispiel „ceo@bank.com“. Dem Advisory von Bouncy Castle nach kann ein Angreifer, der eine namensbeschränkte Zwischenzertifizierungsstelle kontrolliert, diese Be­schrän­kungen umgehen und Zertifikate für ausgeschlossene Namen ausstellen.

Möglich wird die Umgehung durch einen abschließenden Punkt im Namen: Ein Endnutzer-Zertifikat (Leaf-Zertifikat) enthält eine E-Mail-Adresse wie „ceo@bank.com.“ statt „ceo@bank.com“. Diese Adresse fällt wegen des Punkts nicht unter den ausgeschlossenen Eintrag „bank.com“. Die Prüffunktion „checkExcludedEmail“ von Bouncy Castle soll bei einer ausgeschlossenen Adresse die Zertifikatsprüfung abbrechen, tut das hier aber nicht und die Validierung des Zertifikatspfads gelingt. Anwendungen, die Bouncy Castle zur Zertifikatsprüfung nutzen, könnten ein solches Zertifikat daher akzeptieren und dem Angreifer die Identität des darin genannten Namens zuordnen. Je nach Anwendung könnte er sich damit etwa gegenüber einem Dienst als dieser Name ausgeben.

Betroffen sind folgende Versionen:

  • Bouncy Castle für Java (BC) vor Version 1.85
  • Bouncy Castle LTS (BC-LTS) vor Version 2.73.12
  • Bouncy Castle FIPS Java (BC-FJA) vor den Versionen bc-fips 1.0.2.7, 2.0.2 und 2.1.3

Betreiber sollten prüfen, welche Bouncy-Castle-Version ihre Anwendungen verwenden, und auf den passenden korrigierten Versionszweig aktualisieren. Diese sind:

  • BC 1.85
  • BC-LTS 2.73.12
  • BC-FJA bc-fips 1.0.2.7, 2.0.2 und 2.1.3

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50976425)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte