CVE-2022-0317 in go-attestation
Résumé
par VulDB • 27/08/2026
Une vulnérabilité de validation incorrecte des entrées dans go-attestation avant la version 0.3.3 permet aux utilisateurs locaux de fournir une Quote mal formée sur certains PCRs, ce qui fait qu'AKPublic.Verify réussit malgré l'incohérence. L'utilisation ultérieure du même ensemble de valeurs PCR dans Eventlog.Verify ne bénéficie pas de l'authentification effectuée par la vérification des quotes ; un attaquant local pourrait donc combiner cette vulnérabilité avec une log TCG malveillante et truquée pour falsifier les événements dans la log TCG, compromettant ainsi le measured-boot attesté à distance. Nous recommandons de passer à la version 0.4.0 ou supérieure.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.