CVE-2026-22696

dcap-qvl, DCAP (Data Center Attestation Primitives) üçün sitat yoxlama məntiqini həyata keçirir. 0.3.9 versiyasından əvvəlki versiyalarda mövcud olan zəiflik, dcap-qvl daxilində kriptoqrafik yoxlama prosesində kritik boşluqla bağlıdır. Kitabxana PCCS-dən QE Identity materiallarını (o cümlədən qe_identity, qe_identity_signature və qe_identity_issuer_chain) əldə edir. Lakin o, QE Identity imzasının sertifikat zənciri ilə yoxlanılmasını ötürür və QE Report üzərində siyasət məhdudiyyətlərini tətbiq etmir. Hücumçu bədxah və ya Intel-ə aid olmayan Quoting Enclave-i ağ siyahıya əlavə etmək üçün QE Identity məlumatlarını saxtalaşa bilər. Bu, hücumçuya QE-ni saxtalaşdırmağa və yoxlayıcının etibarlı kimi qəbul edəcəyi etibarsız sitatları imzalamağa imkan verir. Effektiv şəkildə bu, bütün uzaqdan attestasiya təhlükəsizlik modelindən yan keçmək deməkdir, çünki yoxlayıcı artıq sitatların imzalanmasına cavabdeh olan quruma etibar edə bilməz. SGX və ya TDX sitatlarının yoxlanılması üçün dcap-qvl kitabxanasından istifadə edən bütün tətbiqlər bundan təsirlənir. Zəiflik dcap-qvl versiya 0.3.9-da aradan qaldırılıb. Düzəliş QE Identity imzası üçün çatışmayan kriptoqrafik yoxlamanı tətbiq edir və QE Report-a qarşı MRSIGNER, ISVPRODID və ISVSVN üçün tələb olunan yoxlamaları həyata keçirir. `@phala/dcap-qvl-node` və `@phala/dcap-qvl-web` paketlərinin istifadəçiləri saf JavaScript implementasiyası olan `@phala/dcap-qvl`-ə keçməlidirlər. Bu zəiflik üçün məlum alternativ həll yolları yoxdur. İstifadəçilər QE Identity materiallarının düzgün yoxlandığından əmin olmaq üçün yenilənmiş versiyaya keçid etməlidirlər.