CVE-2026-92702 in Cocos
Zusammenfassung
von VulDB • 18.09.2026
Cocos AI ist ein System für vertrauliche Berechnungen (Confidential Computing) zur Ausführung von KI-Workloads innerhalb von Trusted Execution Environments. In den Versionen bis einschließlich 0.8.2 wird der Verifizierungspfad für intra-handshake attested TLS (aTLS) AMD SEV-SNP nicht gezwungen, die Frische der Attestation zu überprüfen, wenn der erwartete reportData-Wert nil, leer oder weggelassen ist. Dadurch bleibt das ReportData-Feld in der SEV-SNP-Richtlinie ungesetzt, sodass der Verifizierer fremde oder veraltete Evidence akzeptiert, die nicht an die aktuelle Verbindung gebunden sind. Eine vertrauende Partei (Relying Party), die diesen Pfad ohne einen erwarteten reportData-Wert für Vertrauens- oder Autorisierungsentscheidungen nutzt, kann dazu gebracht werden, einem unbeabsichtigten Attestationskontext zu vertrauen; ein gelieferter nicht-leerer reportData wird weiterhin validiert. Das Problem wurde in Version 0.9.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.