Akorb

**Nome do software vulnerável e versões afetadas** Versões do tpm2-tools anteriores à 5.7 **Descrição** A vulnerabilidade permite que um invasor mal-intencionado gere dados de citação arbitrários que não são detectados pelo `tpm2 checkquote`. Isso está relacionado às ferramentas do Trusted Platform Module (TPM 2.0). **Recomendações** Para versões anteriores à 5.7, atualize para a versão 5.7 para resolver o problema. Como solução alternativa temporária, considere restringir o uso da função `tpm2 checkquote` até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões da pilha de software TPM2 anteriores à 4.1.0 **Descrição** O problema está relacionado à função TPM2 GENERATED VALUE() na implementação da pilha de software TPM2 da TCG. Falta uma verificação para garantir que o número mágico no attest corresponda ao TPM2 GENERATED VALUE. Isso permite que um invasor gere dados de cotação arbitrários que podem não ser detectados pelo Fapi VerifyQuote. O verificador pode receber um estado que não representa o estado real do dispositivo em teste, potencialmente concedendo a dispositivos maliciosos acesso a dados ou serviços não autorizados. **Recomendações** Para versões anteriores à 4.1.0, atualize para a versão 4.1.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à estrutura `TPMS ATTEST` e às funções `Fapi Quote` e `Fapi VerifyQuote` para minimizar o risco de exploração. Evite usar números arbitrários no campo `TPM2 GENERATED magic` da estrutura JSON até que o problema seja resolvido.