CVE-2026-59639
CMS verifySignatures returns true for SignedData with zero signers
HIGH 8.7
En bref
- Source
- NVD
- EPSS
- EPSS 0.24 % · centile 15 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- bcorg
- Statut NVD
- Analyzed
Description
In Bouncy Castle for Java before 1.85, CMS verifySignatures returns true for SignedData with zero signers. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bcpkix-fips 1.0.12 (1.0.X series), 2.0.12 (2.0.X series) and 2.1.12 (2.1.X series).
Faiblesses (CWE)
- CWE-347 — Vérification incorrecte d'une signature cryptographique
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 4.0 | HIGH 8.7 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/U:Amber | bcorg |
| CVSS 4.0 | HIGH 8.7 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amber | NVD · 91579145-5d7b-4cc5-b925-a0262ff19630 (Secondary) |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N | NVD · nvd@nist.gov (Primary) |
Références européennes
- ENISA EUVD · EUVD-2026-52035
- GCVE · GCVE-0-2026-59639
Avis du CERT-FR
- CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1336 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1293 — Multiples vulnérabilités dans MongoDB · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1291 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1256 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1165 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:bouncycastle:bc-java:*:*:*:*:*:*:*:*< 1.85cpe:2.3:a:bouncycastle:bcpkix-fips:*:*:*:*:*:*:*:*< 1.0.12cpe:2.3:a:bouncycastle:bcpkix-fips:*:*:*:*:*:*:*:*≥ 2.0.7 < 2.0.12cpe:2.3:a:bouncycastle:bcpkix-fips:*:*:*:*:*:*:*:*≥ 2.1.8 < 2.1.12cpe:2.3:a:bouncycastle:bouncy_castle_for_java_lts:*:*:*:*:*:*:*:*≤ 2.73.11
Produits affectés
| Produit | Versions |
|---|---|
| Legion of the Bouncy Castle Inc. · BC-JAVA | affected 0 < 1.85 |
| Legion of the Bouncy Castle Inc. · BC-LTS-JAVA | affected 2.73.0 < 2.73.12 |
| Legion of the Bouncy Castle Inc. · BC-FJA | affected 1.0.0 < 1.0.12 ; affected 2.0.0 < 2.0.12 ; affected 2.1.0 < 2.1.12 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |