Imprivata Enterprise Access Management (EAM) 버전 26.2.6 이하에 취약점이 존재합니다. 해당 플랫폼은 인증을 위한 X.509 인증서 생성에 RSA 키 쌍을 사용합니다. 결정적으로, 초기 배포 후 이 키 쌍을 교체할 수 있는 지원되는 방법이 없습니다. 이는 인증서 생성에 동일한 키가 무기한 사용됨을 의미합니다. 단일의 변경 불가능한 키 쌍을 무기한 사용하는 것은 암호화 모범 사례에서 크게 벗어나는 것입니다. 공격자가 개인 키를 획득하면 EAM 어플라이언스를 무기한 사칭할 수 있습니다. 이러한 사칭은 공격자가 EHR과 같은 중요 시스템에 대한 자격 증명 및 SSO 토큰을 포함한 인증 트래픽을 가로챌 수 있도록 합니다. 완벽 순방향 비밀성이 강제되지 않는 경우, 이전에 캡처된 암호화된 트래픽도 소급하여 복호화할 수 있습니다. Imprivata는 이 문제를 인지하고 있으며 해결을 위해 노력하고 있는 것으로 알려졌습니다. 그러나 아직 수정 사항이나 타임라인은 발표되지 않았습니다. 임시방편으로, 사용자는 어플라이언스의 개인 키, 백업 및 스냅샷에 대한 접근을 엄격히 제한해야 합니다. 연결에서 완벽 순방향 비밀성을 강제하는 것도 일부 영향을 완화할 수 있습니다.