CVE-2019-14356 in MK1
Riassunto
di VulDB • 22/06/2026
** DISPUTATO ** Sui dispositivi Coldcard MK1 e MK2 è stata rilevata una side channel relativa al display OLED a righe. Il consumo di energia per ogni ciclo del display basato su righe dipende dal numero di pixel illuminati, consentendo il recupero parziale dei contenuti visualizzati. Ad esempio, un impianto hardware inserito nel cavo USB potrebbe sfruttare questo comportamento per recuperare segreti confidenziali come il PIN e la mnemonic BIP39. In altre parole, la side channel è rilevante solo se l’attaccante ha un controllo sufficiente sulla connessione USB del dispositivo da poter effettuare misurazioni dei consumi energetici in un momento in cui sono visualizzati dati riservati. La side channel non è rilevante in altre circostanze, come nel caso di un dispositivo rubato che al momento non sta mostrando dati segreti. Sui dispositivi Coldcard MK1 e MK2 è stata rilevata una side channel relativa al display OLED a righe. Il consumo di energia per ogni ciclo del display basato su righe dipende dal numero di pixel illuminati, consentendo il recupero parziale dei contenuti visualizzati. Ad esempio, un impianto hardware inserito nel cavo USB potrebbe sfruttare questo comportamento per recuperare segreti confidenziali come il PIN e la mnemonic BIP39. In altre parole, la side channel è rilevante solo se l’attaccante ha un controllo sufficiente sulla connessione USB del dispositivo da poter effettuare misurazioni dei consumi energetici in un momento in cui sono visualizzati dati riservati. La side channel non è rilevante in altre circostanze, come nel caso di un dispositivo rubato che al momento non sta mostrando dati segreti. NOTA: presso Coinkite abbiamo già mitigato il problema, sebbene riteniamo fortemente che non si tratti di una questione legittima. A nostro avviso, essa è sia non dimostrata (potrebbe anche non funzionare) sia completamente impraticabile – persino nel caso in cui potesse essere resa perfettamente operativa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.