It was discovered that there was an issue in the bouncycastle crypto library where attackers could obtain sensitive information due to observable differences in its response to invalid input.

For Debian 9 'Stretch', this problem has been fixed in version 1.56-1+deb9u3.

We recommend that you upgrade your bouncycastle packages.

For the detailed security status of bouncycastle please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/bouncycastle

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.61 より前の Bouncy Castle BC および 1.0.1.2より前の BC-FJA のバージョンでは、攻撃者が、エラー入力に対する観察可能な差分である、プライベート指数に関する機密情報を入手する可能性があります。これは、org.bouncycastle.crypto.encodings.OAEPencoding で発生します。OAEP デコーダーで短いペイロードに復号化する無効な暗号文を送信することで、早期例外のスローが発生し、暗号化を実行する RSA 秘密鍵の秘密指数に関する情報の一部が漏洩する可能性があります。
    (CVE-2020-26939)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

據發現，bouncycastle 密碼編譯程式庫中有一個問題，攻擊者可藉此取得敏感資訊，這是因為其對無效輸入的回應中有明顯差異所致。

針對 Debian 9「Stretch」，已在 1.56-1+deb9u3 版本中修正此問題。

建議您升級 bouncycastle 套件。

如需有關 bouncycastle 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/bouncycastle

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 bouncycastle 加密库中发现问题，由于其对无效输入的响应存在可以观察到的差异，因此攻击者可获取敏感信息。

针对 Debian 9 “stretch”，此问题已在 1.56-1+deb9u3 版本中修复。

建议您升级 bouncycastle 程序包。

如需了解 bouncycastle 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/bouncycastle

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Legion of the Bouncy Castle BC before 1.61 and BC-FJA before 1.0.1.2, attackers can obtain sensitive     information about a private exponent because of Observable Differences in Behavior to Error Inputs. This     occurs in org.bouncycastle.crypto.encodings.OAEPEncoding. Sending invalid ciphertext that decrypts to a     short payload in the OAEP Decoder could result in the throwing of an early exception, potentially leaking     some information about the private exponent of the RSA private key performing the encryption.
    (CVE-2020-26939)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 1.61 之前的 Legion of the Bouncy Castle BC 和 1.0.1.2之前的 BC-FJA 中因為錯誤輸入行為中的可觀察到的差異攻擊者可以取得有關私人指數的敏感資訊。此情況發生在 org.bouncycastle.crypto.encodings.OAEPEncoding 中。在 OAEP 解碼器中傳送無效的解密至短承載之密碼文字可導致提早擲回例外狀況進而可能洩漏某些與執行加密之 RSA 私密金鑰的私密指數有關的資訊。
    (CVE-2020-26939)

請注意，Nessus 依賴供應商報告的套件存在。

bouncycastle cryptoライブラリに、無効な入力に対する応答に明らかな違いがあるため、攻撃者が機密情報を入手する問題があることが判明しました。

Debian 9「Stretch」では、この問題はバージョン1.56-1+deb9u3で修正されています。

お使いのbouncycastleパッケージをアップグレードすることを推奨します。

bouncycastleの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/bouncycastle

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在低于 1.61 的Bouncy Castle BC 的 Legion 和 1.0.1.2之前的 BC-FJA 中由于错误输入的行为中可观察到的差异攻击者可能会获取有关私人指数的敏感信息。org.bouncycastle.crypto.encodings.OAEPEncoding 中会发生此问题。发送在 OAEP 解码器中解密为短负载的无效密文可导致提前抛出异常从而可能泄漏与执行加密的 RSA 私钥的私有指数有关的某些信息。
    (CVE-2020-26939)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	Name	Product	Family	Published	Updated	Severity
142551	Debian DLA-2433-1 : bouncycastle security update	Nessus	Debian Local Security Checks	11/6/2020	11/20/2020	medium
259807	Linux Distros のパッチ未適用の脆弱性: CVE-2020-26939	Nessus	Misc.	8/30/2025	8/30/2025	medium
142551	Debian DLA-2433-1：bouncycastle 安全性更新	Nessus	Debian Local Security Checks	11/6/2020	11/20/2020	medium
142551	Debian DLA-2433-1：bouncycastle 安全更新	Nessus	Debian Local Security Checks	11/6/2020	11/20/2020	medium
259807	Linux Distros Unpatched Vulnerability : CVE-2020-26939	Nessus	Misc.	8/30/2025	8/30/2025	medium
259807	Linux Distros 未修補的弱點：CVE-2020-26939	Nessus	Misc.	8/30/2025	8/30/2025	medium
142551	Debian DLA-2433-1: bouncycastleセキュリティ更新	Nessus	Debian Local Security Checks	11/6/2020	11/20/2020	medium
259807	Linux Distros 未修补的漏洞：CVE-2020-26939	Nessus	Misc.	8/30/2025	8/30/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium