CVE-2020-8918
Açıklama
Google'ın 0.3.0 öncesi go-tpm TPM1.2 kütüphanesi sürümlerinde uygun şekilde başlatılmamış bir 'migrationAuth' değeri, ağ trafiğini dinleyen bir saldırganın CreateWrapKey ile oluşturulmuş bir anahtar için kimlik doğrulama değerini keşfetmesine yol açabilir. Kanalı dinleyen bir saldırgan hem 'encUsageAuth' hem de 'encMigrationAuth' değerlerini toplayabilir ve ardından 'usageAuth ^ encMigrationAuth' işlemini hesaplayabilir; çünkü CreateWrapKey ile oluşturulan tüm anahtarlar için 'migrationAuth' tahmin edilebilir. TPM2.0 bundan etkilenmemektedir. Kütüphanenizi 0.3.0 veya daha yeni bir sürüme güncellemenizi veya güncelleyemiyorsanız CreateWrapKey fonksiyonunu 'migrationAuth' için rastgele 20 baytlık bir değerle çağırmanızı öneririz.
Nasıl düzeltilir
- google go-tpm0.3.0 ya da sonraki bir sürüm
- github.com/google/go-tpm0.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google go-tpm | v < 0.3.0 | 0.3.0 |
| github.com/google/go-tpmGo | v < 0.3.0 | 0.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.