Bouncy Castle Java Cryptography API vulnerable to DNS poisoning
An issue was discovered in the Bouncy Castle Crypto Package For Java before BC TLS Java 1.0.19 (ships with BC Java 1.78, BC Java (LTS) 2.73.6) and before BC FIPS TLS Java 1.0.19. When endpoint identification is enabled in the BCJSSE and an SSL socket is created without an explicit hostname (as happens with HttpsURLConnection), hostname verification could be performed against a DNS-resolved IP address in some situations, opening up a possibility of DNS poisoning.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.bouncycastle:bcprov-jdk12 | >= 1.61, < 1.78 | 1.78 |
| Java / Kotlin (Maven) | org.bouncycastle:bcprov-jdk14 | >= 1.61, < 1.78 | 1.78 |
| Java / Kotlin (Maven) | org.bouncycastle:bcprov-jdk15on | >= 1.61, < 1.78 | 1.78 |
| Java / Kotlin (Maven) | org.bouncycastle:bcprov-jdk15to18 | >= 1.61, < 1.78 | 1.78 |
| Java / Kotlin (Maven) | org.bouncycastle:bcprov-jdk18on | >= 1.61, < 1.78 | 1.78 |
| Java / Kotlin (Maven) | org.bouncycastle:bcprov-lts8on | < 2.73.6 | 2.73.6 |
| Java / Kotlin (Maven) | org.bouncycastle:bctls-fips | < 1.0.19 | 1.0.19 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N- Słabość (CWE)
CWE-297- Platforma
- Java / Kotlin (Maven)
- Paczka
org.bouncycastle:bcprov-jdk12, org.bouncycastle:bcprov-jdk14, org.bouncycastle:bcprov-jdk15on- Ujawniono
- 03.05.2024
- Aktualizacja
- 11.10.2026 13:20
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-4h8f-2wvx-gg5w - CC BY 4.0
Historia podatności: org.bouncycastle:bcprov-jdk15on
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 25
- Pierwsza → ostatnia
- 10.2018 04.2026
- Bez poprawki
- 3
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Wysoka 8
- Średnia 14
- Niska 1
Ujawnienia w latach
- 2018: 13
- 2019: 0
- 2020: 0
- 2021: 3
- 2022: 3
- 2023: 2
- 2024: 3
- 2025: 0
- 2026: 1
-
Bouncy Castle Java Cryptography API vulnerable to DNS poisoning ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.