CVE-2022-0317
Təsvir
go-attestation versiya 0.3.3-dən əvvəlki versiyalarda giriş məlumatlarının yanlış yoxlanılması zəifliyi lokal istifadəçilərə heç bir və ya bəzi PCR-lər üzərindən zərərli şəkildə formalaşdırılmış Quote təqdim etməyə imkan verir ki, bu da uyğunsuzluğa baxmayaraq AKPublic.Verify funksiyasının uğurlu tamamlanmasına səbəb olur. Eyni PCR dəyərləri çoxluğunun daha sonra Eventlog.Verify funksiyasında istifadəsi, kotiya (quote) yoxlaması zamanı həyata keçirilən autentifikasiyanın olmaması ilə nəticələnir; bu isə o deməkdir ki, lokal hücumçu bu zəifliyi Eventlog.Verify-də zərərli şəkildə hazırlanmış TCG loqu ilə birləşdirərək TCG loqundakı hadisələri saxtalaşa bilər və beləliklə uzaqdan təsdiqlənmiş ölçülmüş açılışı (measured-boot) sıradan çıxara bilər. Versiya 0.4.0 və ya daha yuxarı versiyaya yeniləmə
Necə düzəltmək olar
- google go-attestation0.3.3 və ya daha yeni versiya
- github.com/google/go-attestation0.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| google go-attestation | v < 0.3.3 | 0.3.3 |
| github.com/google/go-attestationGo | v < 0.4.0 | 0.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.