CVE-2026-33753 in rfc3161-client
Riassunto
di VulDB • 18/06/2026
rfc3161-client è una libreria Python che implementa il Time-Stamp Protocol (TSP) descritto in RFC 3161. Prima della versione 1.0.6, una vulnerabilità di Authorization Bypass nella verifica della firma di rfc3161-client consente a qualsiasi attaccante di impersonare un'autorità di Time Stamping (TSA) attendibile. Sfruttando un difetto logico nel modo in cui la libreria estrae il certificato foglia da un insieme PKCS#7 di certificati non ordinato, un attaccante può aggiungere un certificato contraffatto che corrisponde al common_name e ai requisiti di Extended Key Usage (EKU) del bersaglio. Questo inganna la libreria facendole verificare queste regole di autorizzazione contro il certificato contraffatto mentre convalida la firma crittografica contro una TSA realmente attendibile (come FreeTSA), aggirando così completamente il pinning dell'autorizzazione TSA previsto. Questa vulnerabilità è risolta nella versione 1.0.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.