CVE-2026-33753
Açıklama
rfc3161-client, RFC 3161'de açıklanan Zaman Damgası Protokolünü (TSP) uygulayan bir Python kütüphanesidir. 1.0.6 sürümünden önce, rfc3161-client'ın imza doğrulamasındaki bir Kimlik Doğrulama Atlatma zafiyeti, herhangi bir saldırganın güvenilir bir Zaman Damgası Makamını (TSA) taklit etmesine olanak tanır. Kütüphanenin, sıralanmamış bir PKCS#7 sertifika torbasından yaprak sertifikayı çıkarma biçimindeki bir mantık hatasını istismar eden bir saldırgan, hedef common_name ve Genişletilmiş Anahtar Kullanımı (EKU) gereksinimleriyle eşleşen sahte bir sertifika ekleyebilir. Bu durum, kütüphaneyi kriptografik imzayı gerçek bir güvenilir TSA (FreeTSA gibi) üzerinden doğrularken, yetkilendirme kurallarını sahte sertifikaya göre doğrulamaya yönlendirir ve böylece amaçlanan TSA yetkilendirme sabitlemesini tamamen atlatır. Bu zafiyet 1.0.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- trailofbits rfc3161-client1.0.6 ya da sonraki bir sürüm
- rfc3161-client1.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| trailofbits rfc3161-client | v < 1.0.6 | 1.0.6 |
| rfc3161-clientPyPI | v < 1.0.6 | 1.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.