PT-2022-12117 · Intel · Occlum

David Oswald + 5 · Publicado 2022-03-06 · Atualizado 2022-03-15 · CVE-2021-44421

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Occlum anteriores à 0.26.0

Descrição

O problema diz respeito à lógica de validação de ponteiros no Occlum para Intel SGX, que pode agir como um “confused deputy”. Isso permite que um invasor local acesse informações não autorizadas por meio de análise de canal lateral.

Recomendações

Para versões anteriores à 0.26.0, atualize para a versão 0.26.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a informações confidenciais para minimizar o risco de exploração por meio de análise de canal lateral.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2021-44421

Produtos afetados

Occlum

Referências · 7

• 🔥 https://github.com/occlum/occlum/blob/821ea843ae21037e6cff5268306d2da1fb131552/src/libos/src/util/mem_util.rs#L130 · Exploit
• 🔥 https://github.com/occlum/occlum/blob/821ea843ae21037e6cff5268306d2da1fb131552/src/libos/src/util/mem_util.rs#L51 · Exploit
• https://github.com/occlum/occlum/commit/36918e42bf6732c4d3996bc99eb013eb6b90b249 · Correção
• https://github.com/occlum/occlum/compare/0.25.0...v0.26.0 · Nota
• https://t.me/cibsecurity/38656 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-44421 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-44421 · Aviso do Fabricante