Vulnérabilité dans org.bouncycastle:bc-fips (CVE-2026-13505)
Résumé
Vulnérabilité dans org.bouncycastle:bc-fips (CVE-2026-13505). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.1.3 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
In Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 1.0.2.7 (1.0.X series), 2.0.2 (2.0.X series) and 2.1.3 (2.1.X series), sensitive key material held by the AES and DESede engines, the SP 800-90A DRBGs, SymmetricSecretKey and the PBKD and scrypt parameter classes was zeroised on garbage collection by overriding Object.finalize. Finalization runs at an unspecified time and in an unspecified order and is serviced by a single finalizer thread, so where objects carrying a finalizer are allocated faster than that thread retires them the pending-finalization queue grows without bound: disposal falls arbitrarily far behind, which can contribute to an OutOfMemoryError under load, and the key material those objects hold stays resident in the heap for as long as they are queued, defeating the purpose of the zeroisation. The behaviour was not a problem on Java 8 or Java 11; it is later JVMs, on which finalization has been deprecated and progressively de-emphasised, where it becomes one. Disposal of these classes now runs from a java.lang.ref.Cleaner registered in the multi-release jdk1.9 overlay, so on Java 9 and later it no longer depends on the finalizer being scheduled. Bouncy Castle for Java (bcprov) and Bouncy Castle for Java LTS are not affected, as neither implements the finalizer-based zeroisation scheme.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-13505 a été découverte dans org.bouncycastle:bc-fips.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour org.bouncycastle:bc-fips vers 2.1.3 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « org.bouncycastle:bc-fips CVE-2026-13505 » sur le site de l'éditeur.
CVE-2026-13505 (org.bouncycastle:bc-fips) — CWE-772
Correctif : 2.1.3 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-772) affecte org.bouncycastle:bc-fips.
Consultez l'avis de l'éditeur pour les versions affectées de org.bouncycastle:bc-fips.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2.1.3.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで org.bouncycastle:bc-fips を使っているサービスとバージョンを洗い出す。
-
2Apply patch patch
Upgrade org.bouncycastle:bc-fips to 2.1.3ステージング環境で 2.1.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Ubuntu UBUNTU-CVE-2026-13505 bouncycastle
Références
- web nvd.nist.gov
- web github.com
- web github.com