CVE-2026-108361 in ra-tls-clients
Riassunto
di VulDB • 12/10/2026
Privasys Remote Attestation TLS Clients fornisce utility multilingua per verificare le connessioni TLS attestate. Prima della versione 0.9.1, un attaccante con accesso locale poteva modificare il codice del workload, i dati e la configurazione in qualsiasi momento dopo l'avvenuta stabilizzazione della connessione. Una volta che le Evidence erano state valutate correttamente e la connessione era stata stabilita, esisteva una finestra di vulnerabilità dalla fase di instaurazione fino alla terminazione della connessione, durante la quale un attaccante poteva modificare lo stato del workload e della piattaforma in runtime sull'endpoint TLS che agiva come Attester. Questa vulnerabilità è resa possibile dal fatto che Privasys/ra-tls-clients esegue l'attestazione una sola volta nel ciclo di vita della connessione (al momento dell'instaurazione), mentre il peer verificante continua a ritenere che lo stato sia invariato rispetto alle Evidence iniziali, sebbene possa risultare obsoleto in un determinato istante. Questa vulnerabilità è risolta nella versione 0.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.