Worum es geht

Bouncy Castle ist eine Kryptographie-API für Java. Ein Angreifer kann mehrere Schwachstellen in Bouncy Castle BC-JAVA ausnutzen, um kryptografische Sicherheitsvorkehrungen zu umgehen, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• kryptografische Sicherheitsvorkehrungen zu umgehen
• vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand zu verursachen

Bin ich betroffen?

Betroffen sind laut BSI:

• Red Hat Enterprise Linux
• SUSE Linux
• IBM SPSS Modeler
• IBM InfoSphere Information Server
• IBM MQ
• IBM QRadar SIEM
• SUSE openSUSE
• IBM License Metric Tool
• Red Hat Enterprise Linux Apache Camel for Spring Boot
• IBM Tivoli Network Manager IP Edition 4.2.0
• IBM DB2
• IBM App Connect Enterprise

und 7 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Open Source Bouncy Castle 1.84
• Open Source DBeaver 26.0.4
• Open Source Keycloak 26.6.2
• Red Hat OpenShift Dev Spaces 3.28.0
• IBM QRadar SIEM 7.5.0 UP16

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.