در پلتفرم Imprivata Enterprise Access Management (EAM) که یک سیستم احراز هویت و Single Sign-On (SSO) برای محیط‌های سازمانی و کلینیکی است، یک آسیب‌پذیری امنیتی در نسخه‌های 26.2.6 و پایین‌تر شناسایی شده است. این محصول هیچ مکانیزم پشتیبانی‌شده‌ای برای چرخش (Rotate) جفت‌کلیدهای RSA پس از استقرار فراهم نمی‌کند؛ بدین معنا که از یک جفت‌کلید ثابت برای تولید گواهینامه X.509 دستگاه به‌صورت نامحدود استفاده می‌شود.
جزئیات فنی آسیب‌پذیری (CVE-2026-82356)
سیستم Imprivata EAM از یک جفت‌کلید RSA برای تولید گواهینامه X.509 استفاده می‌کند تا هویت دستگاه را برای ایستگاه‌های کاری کلینیکی، پلتفرم‌های پرونده الکترونیک سلامت (EHR) و جریان‌های کاری دستگاه‌های مشترک که برای احراز هویت به آن متکی هستند، تایید کند. بررسی مستندات محصول و ارتباط با پشتیبانی Imprivata تایید کرد که هیچ روش رسمی برای تغییر یا چرخش این کلیدها پس از نصب وجود ندارد.
پیامدهای امنیتی و ریسک‌ها
استفاده نامحدود از یک جفت‌کلید RSA برای تولید گواهینامه، برخلاف استانداردهای رمزنگاری (Cryptographic Best Practices) است. در صورت دسترسی یک مهاجم به کلید خصوصی (Private Key)، وی می‌تواند هویت معتبر دستگاه را تا زمانی که سیستم مجدداً استقرار شود، در اختیار داشته باشد، زیرا هیچ راهی برای ابطال یا جایگزینی کلید بدون نصب مجدد محصول وجود ندارد.
یک عامل تهدید (Threat Actor) می‌تواند از طریق روش‌هایی مانند استخراج بک‌آپ‌ها، دسترسی به Snapshotهای هایپروایزر یا دسترسی привилегированный به سیستم فایل دستگاه، کلید خصوصی را به دست آورد. با این کلید، مهاجم می‌تواند خود را به جای دستگاه برای هر Endpoint که گواهینامه آن را می‌شناسد، جا بزند (Impersonate).
با توجه به اینکه Imprivata EAM مستقیماً در مسیر احراز هویت قرار دارد، این نقص امنیتی اجازه می‌دهد تا ترافیک احراز هویت در تمامی اپلیکیشن‌ها، از جمله توکن‌های SSO، تاییدیه های Session و اعتبارنامه‌های سیستم‌های EHR به‌صورت مداوم و نامحسوس شنود شود. همچنین در صورتی که Perfect Forward Secrecy (PFS) فعال نباشد، ترافیک‌های ضبط شده قبلی نیز قابل رمزگشایی خواهند بود.
راهکارهای موقت و توصیه‌ها
تا زمان ارائه اصلاحیه توسط سازنده، به کاربران توصیه می‌شود اقدامات زیر را برای کاهش ریسک انجام دهند:
- محدود کردن دسترسی‌های مدیریتی و دسترسی به سیستم فایل دستگاه برای محافظت از کلید خصوصی.
- ایمن‌سازی بک‌آپ‌ها و Snapshotهای هایپروایزر.
- اجبار به استفاده از Perfect Forward Secrecy در اتصالات بالادستی برای محدود کردن اثرات احتمالی در صورت لو رفتن کلید.
