CVE-2026-108361 in ra-tls-clients
Zusammenfassung
von VulDB • 12.10.2026
Privasys Remote Attestation TLS Clients bietet mehrsprachige Dienstprogramme zur Überprüfung attestierter TLS-Verbindungen. Vor Version 0.9.1 konnte ein Angreifer mit lokalem Zugriff den Arbeitslastcode, die Daten und die Konfiguration jederzeit nach der erfolgreichen Herstellung der Verbindung ändern. Sobald das Evidence erfolgreich begutachtet wurde und die Verbindung hergestellt war, bestand eine Verwundbarkeitslücke vom Zeitpunkt der Verbindungsherstellung bis zur Beendigung der Verbindung, in der ein Angreifer den Zustand der Arbeitslast und der Plattform auf dem TLS-Endpunkt, der als Attester fungiert, zur Laufzeit ändern konnte. Diese Schwachstelle war möglich, weil Privasys/ra-tls-clients die Attestierung nur einmal im Lebenszyklus der Verbindung (zum Zeitpunkt der Verbindungsherstellung) durchführte; der überprüfende Peer ging weiterhin davon aus, dass der Zustand während des gesamten Zeitraums mit dem ursprünglichen Evidence übereinstimmte, obwohl er zu einem bestimmten Zeitpunkt veraltet sein konnte. Diese Schwachstelle wurde in Version 0.9.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.