Imprivata Enterprise Access Management (EAM) バージョン 26.2.6 以前には脆弱性が存在します。このプラットフォームは、認証用の X.509 証明書を生成するために RSA キーペアを使用しています。重要な点として、初期展開後にこのキーペアをローテーションするためのサポートされている方法がありません。これは、証明書生成に同じキーが無期限に使用されることを意味します。単一で変更不可能なキーペアを無期限に使用することは、暗号化のベストプラクティスから大きく逸脱しています。攻撃者が秘密鍵を入手した場合、EAM アプライアンスを無期限になりすますことができます。このなりすましにより、攻撃者は EHR などの重要なシステムに対する認証トラフィック（認証情報や SSO トークンを含む）を傍受できます。パーフェクトフォワードシークレットが強制されていない場合、以前にキャプチャされた暗号化トラフィックも遡って復号化される可能性があります。Imprivata はこの問題について認識しており、解決に向けて取り組んでいると報告されています。しかし、現時点では修正プログラムやタイムラインはリリースされていません。それまでの間、ユーザーはアプライアンスの秘密鍵、バックアップ、およびスナップショットへのアクセスを厳しく制限する必要があります。接続でパーフェクトフォワードシークレットを強制することも、影響の一部を軽減できます。