CVE-2025-64186 in evervault-go
Riassunto
di VulDB • 28/07/2026
Evervault è una soluzione di sicurezza per i pagamenti. È stata identificata una vulnerabilità nella logica di verifica dell'attestazione (attestation) presente nell'SDK `evervault-go` nelle versioni precedenti alla 1.3.2, che potrebbe consentire il superamento della validazione da parte di documenti incompleti. Ciò può indurre il client ad affidarsi a un operatore dell'enclave che non soddisfa le garanzie di integrità previste. La possibilità di sfruttare questa vulnerabilità è limitata negli ambienti ospitati su Evervault, poiché un attaccante dovrebbe avere la capacità prerequisita di servire richieste provenienti da specifici nomi di dominio evervault, come conseguenza della pipeline di acquisizione dei certificati TLS basata sulla sfida ACME (ACME challenge).
La vulnerabilità interessa principalmente le applicazioni che verificano solo il PCR8. Sebbene l'efficacia sia ridotta anche per le applicazioni che controllano tutti i valori PCR, l'impatto è in gran parte mitigato dalla verifica dei PCR 0, 1 e 2. Il problema identificato è stato risolto nella versione 1.3.2 validando i documenti di attestazione prima del loro salvataggio nella cache e sostituendo i semplici controlli di uguaglianza con un nuovo controllo `SatisfiedBy`. Gli utenti che utilizzano `evervault-go` per attestare Enclaves ospitate al di fuori degli ambienti Evervault e non possono effettuare l'aggiornamento dispongono di due possibili contromisure. Modificare la logica dell'applicazione in modo da far fallire la verifica se il PCR8 non è esplicitamente presente e non vuoto, e/o aggiungere una pre-validazione personalizzata per rifiutare i documenti che omettono qualsiasi PCR richiesto.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.