Bouncy Castle MLS X.509 Credential Not Bound to Signature Key (CVE-2026-71885)

脆弱性情報 CVE番号: CVE-2026-71885 タイトル: MLS X.509 証明書の LeafNode 署名鍵への紐づけ不備 問題の説明: RFC 9420 の第 5.3 節では、メンバーの とその証明書（credentials）の2つのビューは同一のIDを持つべきであると規定されています。X.509 証明書の場合、 は証明書のエンドエンティティ認証の公開鍵です。Bouncy Castle の MLS 実装では、この紐づけが強制されていません。 具体的な影響: - は葉（leaf）内の署名鍵を検証しますが、 ブランチは空のプレースホルダーです。証明書のチェーンは オブジェクト内にデコードされますが、解析、検証、比較は行われず、これを読み取るためのアクセサも存在しません。 - 証明書の公開鍵と が一致するよう要求されていません。その結果、X.509 証明書は認証されません。 - 攻撃者は、他者の証明書を使用して自身の証明書とし、葉（leaf）の署名時に無関係な鍵を使用することができます。 および の葉検証パスは葉を検証しますが、証明書の主題IDが検証されないため、偽造された葉が受け入れられます。 - 展開環境では、現在 の公開とラケットツリー（ratchet tree）が外部参加および外部コミットへのメッセージ送信に使用されています。証明書管理に関する独立したチェックがないため、認証されていない証明書が受け入れられ、その結果、被害者が再同期され、すべてのエンコードされた証明書（署名鍵ではないもの）と比較され、攻撃者の葉が同じ参加者として扱われます。これにより現在のエポックが派生し、後のグループメッセージが復号され、被害者の成りすましが可能になります。 影響範囲 影響バージョン: BC 1.86 より前 プラットフォーム: Java 8 以降 修正方針 修正バージョン: BC 1.86 修正内容: - は、X.509 証明書の場合、暗号スイートの署名エンコーディングで直列化されたエンドエンティティ証明書の主題公開鍵が と等しいことを要求し、それ以外の場合（空のチェーンや、鍵の種類が暗号スイートと一致しない証明書を含む）の葉を拒否します。 - RFC 9420 第 5.3.1 節に従い、証明書チェーンおよびIDのトラストアンカーへの検証責任は、アプリケーション側に残されています。 - 呼び出し元が X.509 証明書を構築および検査できるようにするため、 コンストラクタと アクセサが追加されました。 - 基本証明書のみを使用する展開には影響ありません。 修正コミット: commit 7763257ed コードブロック その他情報 エディター: David Hook 編集日: 昨日 貢献者: Joshua Rogers および Khaled Suliman (AISLE Research)

目標達成すべての支援者に感謝 — 100%達成しました！

Bouncy Castle MLS X.509 Credential Not Bound to Signature Key (CVE-2026-71885)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Bouncy Castle MLS X.509 Credential Not Bound to Signature Key (CVE-2026-71885)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！