FICHE CVE

CVE-2026-8763

Publiée le 2026-08-03 · Dernière modification le 2026-09-02

🇫🇷 EN BREF

Les applications Java utilisant la bibliothèque de cryptographie Bouncy Castle sont affectées par une faille dans la manière dont les contraintes de nom des certificats sont validées. Un attaquant peut contourner ces restrictions de sécurité en ajoutant un point final à une adresse e-mail ou à une URI, ce qui pourrait lui permettre d'usurper des identités ou d'imiter des entités de confiance. Cette attaque peut être exécutée à distance via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

Validation de certificat incorrecte · CWE-295

Publiée2026-08-03

Dernière modification2026-09-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Urgence du fournisseurAmber

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Bouncy Castle for Java before 1.85, Name Constraints bypass via trailing dot in rfc822Name and URI. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 1.0.2.7 (1.0.X series), 2.0.2 (2.0.X series) and 2.1.3 (2.1.X series).