製品・ソフトウェアに関する情報
Vulnerability Search
trailofbitsのrfc3161-clientにおける証明書検証に関する脆弱性
Title trailofbitsのrfc3161-clientにおける証明書検証に関する脆弱性
Summary

rfc3161-clientは、RFC 3161で説明されているタイムスタンププロトコル（TSP）を実装したPythonライブラリです。バージョン1.0.6以前において、rfc3161-clientの署名検証に権限回避の脆弱性が存在しました。これにより、攻撃者が信頼されたタイムスタンプ機関（TSA）になりすますことが可能でした。この脆弱性は、ライブラリが順序付けされていないPKCS#7証明書の袋からリーフ証明書を抽出する方法における論理的な欠陥を悪用しています。攻撃者は、対象のcommon_nameおよび拡張キー用途（EKU）要件に一致する偽造証明書を付加できる点が問題でした。これにより、ライブラリは暗号署名を実際の信頼されたTSA（例えばFreeTSA）に対して検証しつつ、認可ルールの検証を偽造証明書で行います。そのため、意図されたTSA認可のピン留めを完全に回避してしまいます。この脆弱性はバージョン1.0.6で修正されています。

Possible impacts 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 8, 2026, midnight
Registration Date April 23, 2026, 10:16 a.m.
Last Update April 23, 2026, 10:16 a.m.
CVSS3.0 : 重要
Score 7.5
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Affected System
trailofbits
rfc3161-client 1.0.6 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年04月23日]
  掲載		 April 23, 2026, 10:16 a.m.
NVD Vulnerability Information
CVE-2026-33753
Summary

rfc3161-client is a Python library implementing the Time-Stamp Protocol (TSP) described in RFC 3161. Prior to 1.0.6, an Authorization Bypass vulnerability in rfc3161-client's signature verification allows any attacker to impersonate a trusted TimeStamping Authority (TSA). By exploiting a logic flaw in how the library extracts the leaf certificate from an unordered PKCS#7 bag of certificates, an attacker can append a spoofed certificate matching the target common_name and Extended Key Usage (EKU) requirements. This tricks the library into verifying these authorization rules against the forged certificate while validating the cryptographic signature against an actual trusted TSA (such as FreeTSA), thereby bypassing the intended TSA authorization pinning entirely. This vulnerability is fixed in 1.0.6.

Publication Date April 9, 2026, 1:16 a.m.
Registration Date April 15, 2026, 11:32 a.m.
Last Update April 22, 2026, 3:12 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:trailofbits:rfc3161-client:*:*:*:*:*:*:*:* 1.0.6
Related information, measures and tools
Common Vulnerabilities List