CVE-2026-33753: Authorization Bypass in rfc3161-client

攻击者可以利用此漏洞伪造时间戳证书，使其看起来像是来自可信的 TSA。由于 rfc3161-client 在验证证书时存在逻辑缺陷，攻击者可以构造包含伪造证书的 PKCS#7 包，并将其与目标 common_name 和扩展密钥用途 (EKU) 要求匹配。 库会错误地将这些授权规则应用于伪造证书，同时仍然对加密签名进行验证，从而绕过正常的安全检查。 这可能导致攻击者在依赖时间戳验证的应用程序中执行恶意操作，例如篡改数字签名或伪造交易记录。 攻击的影响范围取决于使用该库的应用程序的安全性，如果应用程序对时间戳的验证不严格，则风险更高。

Applications and systems relying on rfc3161-client for time stamping services are at risk. This includes systems involved in digital signatures, code signing, and any process requiring verifiable timestamps for regulatory compliance or data integrity. Specifically, organizations using custom integrations with time stamping authorities are particularly vulnerable.

• python / library:

import rfc3161
import hashlib

def check_rfc3161_version():
    try:
        import rfc3161
        print(f"rfc3161-client version: {rfc3161.__version__}")
        if rfc3161.__version__ <= '1.0.5':
            print("WARNING: Vulnerable to CVE-2026-33753")
        else:
            print("rfc3161-client is patched.")
    except ImportError:
        print("rfc3161-client is not installed.")

check_rfc3161_version()

1. 2026-04-08Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-04-08
3. EPSS 更新日期2026-04-16

最有效的缓解措施是立即升级到 rfc3161-client 的 1.0.6 版本或更高版本。 如果升级不可行，可以考虑以下临时缓解措施：严格验证时间戳证书的颁发者，确保证书来自可信的 TSA。 实施额外的验证层，例如检查证书的撤销状态。 监控系统日志，查找任何异常的时间戳请求或证书验证失败。 暂时禁用依赖于时间戳验证的功能，直到可以安全地升级或实施其他缓解措施。