CVE-2024-51997
Açıklama
Trustee, gizli konukların tasdiki ve onlara sırlar sağlanması için kullanılan bir araçlar ve bileşenler kümesidir. AS tarafından oluşturulan ART (**Attestation Results Token**) belirteci, bir MITM saldırganı tarafından manipüle edilebilir ancak doğrulayıcı (KBS gibi CoCo Verification Demander) bunu hala başarıyla doğrulayabilir. ART belirtecinin yükünde (payload), 'jwk' saldırgan tarafından kendi genel anahtarıyla değiştirilebilir. Ardından saldırgan, hazırladığı ART belirtecini imzalamak için kendi karşılık gelen özel anahtarını kullanabilir. Mevcut kod uygulamasına (v0.8.0) göre, bu tür bir değiştirme ve modifikasyon tespit edilememektedir. Bu sorun 0.8.2 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| confidential-containers trustee | < 0.8.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.