CVE-2026-33753: Authorization Bypass in rfc3161-client

この脆弱性は、攻撃者がPKCS#7証明書バッグからリーフ証明書を抽出する際のロジックエラーを悪用し、任意の攻撃者が信頼されたTSAになりすますことを可能にします。攻撃者は、ターゲットのcommon_nameと拡張キー使用法（EKU）要件に一致する偽造証明書を付加することで、ライブラリを騙し、実際の信頼されたTSAに対する暗号学的署名を検証しながら、偽造証明書に対して認証ルールを検証させることができます。これにより、攻撃者はタイムスタンプサービスを不正に使用し、データの真正性を偽装する可能性があります。この攻撃は、デジタル署名やタイムスタンプに依存するアプリケーションに深刻な影響を与える可能性があります。

Applications and systems relying on rfc3161-client for time stamping services are at risk. This includes systems involved in digital signatures, code signing, and any process requiring verifiable timestamps for regulatory compliance or data integrity. Specifically, organizations using custom integrations with time stamping authorities are particularly vulnerable.

• python / library:

import rfc3161
import hashlib

def check_rfc3161_version():
    try:
        import rfc3161
        print(f"rfc3161-client version: {rfc3161.__version__}")
        if rfc3161.__version__ <= '1.0.5':
            print("WARNING: Vulnerable to CVE-2026-33753")
        else:
            print("rfc3161-client is patched.")
    except ImportError:
        print("rfc3161-client is not installed.")

check_rfc3161_version()

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-04-08
3. EPSS 更新日2026-04-16

この脆弱性への最善の対応は、rfc3161-clientをバージョン1.0.6にアップデートすることです。アップデートが利用できない場合、一時的な回避策として、入力検証を強化し、信頼できないソースからの証明書を拒否するようにアプリケーションを構成することを検討してください。また、WAF（Web Application Firewall）を使用して、悪意のある証明書を検出およびブロックすることも有効です。アップデート後、署名検証プロセスが正しく機能していることを確認してください。