FICHE CVE

CVE-2026-59651

Publiée le 2026-08-03 · Dernière modification le 2026-09-02

🇫🇷 EN BREF

Les applications Java utilisant des versions de Bouncy Castle antérieures à 1.85 (ou LTS antérieures à 2.73.12) sont sensibles à une faille dans la manière dont les magasins de clés (keystores) BKS vérifient l'intégrité des données. Un attaquant distant non authentifié pourrait potentiellement modifier le contenu d'un magasin de clés s'il parvient à inciter un utilisateur ou un système à charger un fichier de magasin de clés malveillant. Comme le contrôle d'intégrité repose sur une clé 16 bits faible, cette protection est facile à contourner par calcul.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-326

Publiée2026-08-03

Dernière modification2026-09-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Urgence du fournisseurAmber

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Bouncy Castle for Java before 1.85, BKS keystore accepts legacy version with 16-bit integrity MAC key. This issue also affects Bouncy Castle for Java LTS before 2.73.12.