Imprivata 企业访问管理（EAM）26.2.6 及更早版本存在漏洞。该平台使用 RSA 密钥对生成用于身份验证的 X.509 证书。关键问题在于，初始部署后没有支持的方法来轮换该密钥对。这意味着同一密钥将被无限期地用于证书生成。无限期使用单一且不可更改的密钥对严重偏离了密码学最佳实践。如果攻击者获取了私钥，他们即可无限期地冒充 EAM 设备。这种冒充行为使攻击者能够拦截认证流量，包括针对关键系统（如电子健康记录系统）的凭据和单点登录（SSO）令牌。此外，如果未实施前向保密性，先前捕获的加密流量也可能被回溯解密。Imprivata 已意识到该问题，据报正在制定解决方案，但尚未发布修复方案或时间表。在此期间，用户应严格限制对设备私钥、备份和快照的访问。在连接上强制实施前向保密性也可在一定程度上缓解影响。