PT-2022-13101 · Unknown · Go-Attestation

Nikki Vonhollen + 1 · Publicado 2022-02-01 · Atualizado 2022-07-15 · CVE-2022-0317

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do go-attestation anteriores à 0.4.0

Descrição

O problema é causado por uma validação inadequada de entradas em AKPublic.Verify, permitindo que usuários locais forneçam uma citação (Quote) maliciosamente criada sobre nenhum ou alguns PCRs, fazendo com que AKPublic.Verify seja executado com sucesso apesar da inconsistência. O uso subsequente do mesmo conjunto de valores de PCR em Eventlog.Verify carece da autenticação realizada pela verificação de citação, o que significa que um invasor local poderia combinar essa vulnerabilidade com um log TCG criado de forma maliciosa em Eventlog.Verify para falsificar eventos no log TCG, frustrando assim a inicialização medida atestada remotamente.

Recomendações

Para versões do go-attestation anteriores à 0.4.0, atualize para a versão 0.4.0 ou superior para resolver o problema. Se o uso desta biblioteca verificar PCRs usando múltiplas citações, certifique-se de usar o novo método AKPublic.VerifyAll() em vez de AKPublic.Verify.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2022-0317

GHSA-99CG-575X-774P

GO-2022-0294

Produtos afetados

Go-Attestation

Referências · 8

• https://github.com/google/go-attestation/security/advisories/GHSA-99cg-575x-774p · Nota
• https://github.com/google/go-attestation · Nota
• https://github.com/google/go-attestation/commit/82f2c9c2c76e1d3691d17ee78116d1d93a123788 · Nota
• https://osv.dev/vulnerability/GO-2022-0294 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2022-0294 · Nota
• https://osv.dev/vulnerability/GHSA-99cg-575x-774p · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-0317 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-0317 · Aviso do Fabricante