CVE-2026-33753: Bypass de Autorização em rfc3161-client

A exploração bem-sucedida desta vulnerabilidade permite que um atacante crie certificados falsos que são aceitos pela biblioteca rfc3161-client como válidos. Isso ocorre devido a uma falha na lógica de extração do certificado folha de um saco PKCS#7 desordenado. O atacante pode então anexar um certificado falsificado que corresponda aos requisitos de nome comum e Uso Estendido de Chave (EKU) do alvo, enganando a biblioteca a verificar as regras de autorização contra o certificado forjado. O impacto é a perda de confiança nos carimbos de tempo, podendo levar a fraudes e manipulação de dados. A vulnerabilidade se assemelha a cenários onde a validação de certificados é comprometida, permitindo a execução de ações com privilégios elevados.

Applications and systems relying on rfc3161-client for time stamping services are at risk. This includes systems involved in digital signatures, code signing, and any process requiring verifiable timestamps for regulatory compliance or data integrity. Specifically, organizations using custom integrations with time stamping authorities are particularly vulnerable.

• python / library:

import rfc3161
import hashlib

def check_rfc3161_version():
    try:
        import rfc3161
        print(f"rfc3161-client version: {rfc3161.__version__}")
        if rfc3161.__version__ <= '1.0.5':
            print("WARNING: Vulnerable to CVE-2026-33753")
        else:
            print("rfc3161-client is patched.")
    except ImportError:
        print("rfc3161-client is not installed.")

check_rfc3161_version()

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-03-23
2. Publicada2026-04-08
3. EPSS atualizado2026-04-16

A mitigação primária é atualizar a biblioteca rfc3161-client para a versão 1.0.6 ou superior, que corrige a falha de bypass de autorização. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como a validação manual dos certificados recebidos de TSAs, mesmo após a verificação pela biblioteca. Além disso, revise as configurações de segurança do seu sistema para garantir que apenas TSAs confiáveis sejam permitidas. Após a atualização, confirme a correção verificando se a biblioteca está utilizando a versão corrigida e realizando testes de carimbo de tempo para garantir que a validação de certificados esteja funcionando corretamente.