CVE-2022-0317 in go-attestation
الملخص
بحسب VulDB • 26/06/2026
تسمح ثغرة عدم التحقق الصحيح من المدخلات في مكتبة go-attestation قبل الإصدار 0.3.3 للمستخدمين المحليين بتقديم "Quote" مشكوك فيه (ذو صيغة خبيثة) عبر بعض أو كل سجلات القياس الأساسية (PCRs)، مما يؤدي إلى نجاح عملية تحقق AKPublic.Verify رغم وجود عدم اتساق. الاستخدام اللاحق لنفس مجموعة قيم PCR في Eventlog.Verify يفتقر إلى المصادقة التي تقوم بها عملية التحقق من Quote، ما يعني أنه يمكن لمهاجم محلي أن يستغل هذه الثغرة مقترنةً بسجل TCG مُعدّ بعناية خبيثة في Eventlog.Verify لتزوير الأحداث في سجل TCG، وبالتالي إبطال ميزة "التمهيد المقاس والموثق عن بُعد" (remotely-attested measured-boot). نوصي بالترقية إلى الإصدار 0.4.0 أو ما فوقه.
If you want to get best quality of vulnerability data, you may have to visit VulDB.