CVE-2026-33753: Bypass d'autorisation dans rfc3161-client

L'exploitation de cette vulnérabilité permet à un attaquant d'usurper l'identité d'une TSA légitime. En manipulant la structure PKCS#7 et en ajoutant un certificat falsifié correspondant aux critères de common_name et d'Utilisation Étendue de la Clé (EKU), l'attaquant peut contourner la vérification d'autorisation. Cela permet de falsifier des marques-temps, ce qui peut avoir des conséquences graves sur la confiance dans l'authenticité et l'intégrité des documents numériques. Un attaquant pourrait ainsi compromettre des processus d'audit, des signatures numériques et d'autres applications qui dépendent de la fiabilité des marques-temps. Le risque est d'autant plus élevé que les TSA sont souvent utilisées dans des contextes critiques, tels que la conformité réglementaire et la sécurité des transactions.

Applications and systems relying on rfc3161-client for time stamping services are at risk. This includes systems involved in digital signatures, code signing, and any process requiring verifiable timestamps for regulatory compliance or data integrity. Specifically, organizations using custom integrations with time stamping authorities are particularly vulnerable.

• python / library:

import rfc3161
import hashlib

def check_rfc3161_version():
    try:
        import rfc3161
        print(f"rfc3161-client version: {rfc3161.__version__}")
        if rfc3161.__version__ <= '1.0.5':
            print("WARNING: Vulnerable to CVE-2026-33753")
        else:
            print("rfc3161-client is patched.")
    except ImportError:
        print("rfc3161-client is not installed.")

check_rfc3161_version()

1. 2026-04-08Disclosure

   disclosure

1. Réservé2026-03-23
2. Publiée2026-04-08
3. EPSS mis à jour2026-04-16

La mitigation principale consiste à mettre à jour la bibliothèque rfc3161-client vers la version 1.0.6 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à renforcer la validation des certificats côté application. Il est crucial de vérifier que le certificat présenté par la TSA correspond bien à l'autorité attendue et de s'assurer que les critères de common_name et EKU sont strictement respectés. En attendant la mise à jour, il est recommandé de surveiller attentivement les journaux d'événements pour détecter toute activité suspecte liée à la validation des certificats. Après la mise à jour, vérifiez que la bibliothèque est correctement installée et que la version est bien celle attendue avec pip show rfc3161-client.