CVE-2026-12681
Açıklama
Google go-attestation bileşeninde, girdide belirtilen dizin, konum veya ofsetin uygun şekilde doğrulanmaması zafiyeti bulunmaktadır. parseEfiSignatureList() fonksiyonu, girişleri okumadan önce tampon belleği vendor baytlarının ötesine ilerletmemektedir. hashSHA256SigGUID listeleri için bu durum, saldırgan tarafından kontrol edilen vendor üstbilgi baytlarının güvenilir SHA256 karma listesine eklenmesine olanak tanır. Özel olarak hazırlanmış bir TPM olay günlüğü, doğrulayıcının güvenilir ölçüm veri tabanına rastgele SHA256 karmaları enjekte ederek, uzaktan kimlik doğrulama (remote attestation) doğrulayıcısının tehlikeye girmiş bir önyükleme durumunu kabul etmesini sağlayabilir. Bu sorun, go-attestation sürüm 0.6.0 ve öncesini etkilemektedir.
Nasıl düzeltilir
- github.com/google/go-attestation0.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/google/go-attestationGo | v < 0.6.1, Aralık belirtilmemiş | 0.6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.