CVE-2026-12681
Təsvir
Google go-attestation proqramında girişdəki müəyyən edilmiş indeksin, mövqeyin və ya ofsetin yanlış təsdiqlənməsi zəifliyi aşkar edilib. parseEfiSignatureList() funksiyası yazıları oxumazdan əvvəl buferi vendor baytlarından irəli çəkmir. hashSHA256SigGUID siyahıları üçün bu, hücumçu tərəfindən idarə olunan vendor başlıq baytlarının etibarlı SHA256 heş siyahısına əlavə edilməsinə şərait yaradır. Xüsusi hazırlanmış TPM hadisələri loqu uzaqdan attestasiya yoxlayıcısının etibarlı ölçmə bazasına ixtiyari SHA256 heşlərini yerləşdirə bilər ki, bu da yoxlayıcının kompromisə uğramış açılış vəziyyətini qəbul etməsinə imkan verir. Bu problem go-attestation versiya 0.6.0 daxil olmaqla bütün əvvəlki versiyalara təsir edir.
Necə düzəltmək olar
- github.com/google/go-attestation0.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/google/go-attestationGo | v < 0.6.1, Aralıq göstərilməyib | 0.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.