CVE-2026-22696

dcap-qvl, DCAP (Data Center Attestation Primitives) için teklif doğrulama mantığını uygular. 0.3.9 öncesi sürümlerde mevcut olan bir güvenlik açığı, dcap-qvl içindeki kriptografik doğrulama sürecinde kritik bir boşluk içerir. Kütüphane; QE Kimliği teminatlarını (qe_identity, qe_identity_signature ve qe_identity_issuer_chain dahil) PCCS'den alır. Ancak, QE Kimliği imzasının sertifika zincirine karşı doğrulanmasını atlar ve QE Raporu üzerindeki politika kısıtlamalarını zorunlu tutmaz. Bir saldırgan, kötü amaçlı veya Intel dışı bir Quoting Enclave'i beyaz listeye almak için QE Kimliği verilerini taklit edebilir. Bu durum, saldırganın QE'yi taklit etmesine ve doğrulayıcının geçerli olarak kabul edeceği güvenilmeyen teklifleri imzalamasına olanak tanır. Doğrulayıcı artık teklifleri imzalamaktan sorumlu olan varlığa güvenemeyeceği için bu durum, tüm uzaktan doğrulama güvenlik modelini etkisiz hale getirir. SGX veya TDX teklif doğrulaması için dcap-qvl kütüphanesini kullanan tüm dağıtımlar etkilenmektedir. Güvenlik açığı dcap-qvl sürüm 0.3.9'da giderilmiştir. Düzeltme, QE Kimliği imzası için eksik olan kriptografik doğrulamayı uygular ve QE Raporuna karşı MRSIGNER, ISVPRODID ve ISVSVN için gerekli kontrolleri zorunlu kılar. `@phala/dcap-qvl-node` ve `@phala/dcap-qvl-web` paketlerini kullanan kullanıcılar, saf JavaScript uygulaması olan `@phala/dcap-qvl` sürümüne geçmelidir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur. Kullanıcıların, QE Kimliği teminatlarının düzgün şekilde doğrulandığından emin olmak için yamalanmış sürüme yükseltme yapmaları gerekmektedir.