【安全漏洞】Bouncy Castle BC 加密、解密漏洞

发布厂商:

org.bouncycastle

组件名称:

bcprov-jdk15on

漏洞影响版本:

1.65 - 1.66

组件风险等级:

高危

组件路径:

[xxx.jar/BOOT-INF/lib/bcprov-jdk15on-1.65.jar]

CVE编号:

CVE-2020-28052

CNNVD编号:

CNNVD-202012-1340

漏洞名称:

Bouncy Castle BC 安全漏洞

漏洞风险等级:

高危

漏洞类型:

其它

漏洞描述:

Bouncy Castle BC 是由 Bouncy Castle 组织开发的一个用于 C# 和 Java 应用程序的广泛使用的加密库。该库为开发人员提供了丰富的加密和解密功能，用于实现安全的数据传输和存储。然而，Bouncy Castle BC 1.65 版本中存在一个高危的安全漏洞。该漏洞源于库在检查密码时比较了不正确的数据，导致攻击者可能绕过安全性检查，进而获得未授权的访问。

该漏洞影响广泛，尤其在安全要求高的应用场景中（例如金融系统、电子商务平台等），可能带来严重的安全隐患。

漏洞影响范围:

此漏洞影响以下 Maven 系统中的多个 Bouncy Castle 组件版本：

• org.bouncycastle>1.65 并 <1.67

漏洞利用风险:

由于密码检查过程中使用了不正确的数据进行比较，攻击者可以通过该漏洞绕过安全验证机制，获取系统的敏感信息或进行未经授权的操作。对于依赖 Bouncy Castle BC 库进行密码管理或加密传输的系统，攻击者可能会通过此漏洞发起攻击，获取用户的认证信息、加密密钥等重要数据。

相关修复:

Bouncy Castle 团队已经意识到该问题并发布了补丁修复漏洞。开发者应尽快更新受影响的库版本以确保系统的安全性。具体修复可以参考如下 commit： 相关 commit

版本升级建议:

开发人员应将以下 Maven 系统中的组件升级到 1.67 或更高版本，以修复漏洞：

• org.bouncycastle升级至 1.67 及以上版本

<dependency>
	<groupId>org.bouncycastle</groupId>
	<artifactId>bcprov-jdk15on</artifactId>
	<version>1.70</version>
</dependency>								

总结:

Bouncy Castle BC 的密码检查漏洞给使用该库的系统带来了较大的安全风险，尤其是对于需要高度安全保障的应用场景（例如身份认证、加密数据传输等）。开发人员应尽快将库版本升级到 1.67 或更高版本，以修复该漏洞，避免被攻击者利用。

更多已修复漏洞实例请访问: 一线网资源-全网一站式平台