CVE-2016-1000346

LOW 3.7

En bref

Source: NVD
EPSS: EPSS 2.17 % · centile 82 (2026-10-29)
État: PUBLISHED
Publiée: 2018-06-04 21:00 UTC
Mise à jour: 2024-08-06 03:55 UTC
Attribuée par: mitre
Statut NVD: Modified

Rechercher sur…

Description

In the Bouncy Castle JCE Provider version 1.55 and earlier the other party DH public key is not fully validated. This can cause issues as invalid keys can be used to reveal details about the other party's private key where static Diffie-Hellman is in use. As of release 1.56 the key parameters are checked on agreement calculation.

Faiblesses (CWE)

CWE-320 — Erreurs de gestion de clés

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.0	LOW 3.7	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N	NVD · nvd@nist.gov (Primary)
CVSS 2.0	MEDIUM 4.3	AV:N/AC:M/Au:N/C:P/I:N/A:N	NVD · nvd@nist.gov (Primary)

Avis

GHSA-fjqm-246c-mwqg — In Bouncy Castle JCE Provider the other party DH public key is not fully validated

Références européennes

ENISA EUVD · EUVD-2018-0591
GCVE · GCVE-0-2016-1000346

Avis du CERT-FR

CERTFR-2026-AVI-1336 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-0556 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2020-AVI-420 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:bouncycastle:bc-java:*:*:*:*:*:*:*:* ≤ 1.55
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*

Produits affectés

Produit	Versions
	affected n/a

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

🟢 CVE-2016-1000346