CVE-2019-14356
Təsvir
Coldcard MK1 və MK2 cihazlarında sətir əsaslı OLED ekran üçün yan kanal boşluğu aşkar edilmişdir. Hər bir sətir əsaslı ekran dövrünün enerji istehlakı işıqlandırılan piksellərin sayından asılıdır ki, bu da ekran məzmununun qismən bərpasına imkan verir. Məsələn, USB kabelindəki aparat implantı bu davranışdan istifadə edərək PIN və BIP39 mnemikası kimi konfidensial məlumatları bərpa edə bilər. Başqa sözlə, yan kanal yalnız hücum edən şəxs gizli məlumatlar ekranda göstərildiyi zaman enerji istehlakını ölçmək üçün cihazın USB bağlantısı üzərində kifayət qədər nəzarətə malik olduqda aktualdır. Gizli məlumatların hazırda göstərilmədiyi oğurlanmış cihaz kimi digər hallarda yan kanal aktual deyil. QEYD: Coinkite olaraq biz bunun legitim problem olmadığına möhkəm inansaq da, artıq onu aradan qaldırmışıq. Bizim fikrimizcə, bu həm sübut olunmamışdır (hətta işləməyə bilər), həm də mükəmməl şəkildə işlətmək mümkün olsa belə, tamamilə qeyri-praktikdir.
Necə düzəltmək olar
- coinkite coldcard_mk1_firmware2.1.2 və ya daha yeni versiya
- coinkite coldcard_mk2_firmware2.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coinkite coldcard_mk1_firmware | v < 2.1.2 | 2.1.2 |
| coinkite coldcard_mk2_firmware | v < 2.1.2 | 2.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.