CVE-2022-0317 in go-attestation
Tóm tắt
Bởi VulDB • 19/06/2026
Một lỗ hổng xác thực đầu vào không đúng trong go-attestation trước phiên bản 0.3.3 cho phép người dùng cục bộ cung cấp một Quote có định dạng độc hại đối với một số hoặc tất cả các PCR, khiến AKPublic.Verify thành công bất chấp sự không nhất quán. Việc sử dụng tiếp theo cùng tập hợp các giá trị PCR trong Eventlog.Verify không thực hiện xác thực được thực hiện bởi xác minh Quote, có nghĩa là một kẻ tấn công cục bộ có thể kết hợp lỗ hổng này với một nhật ký TCG được tạo ra độc hại trong Eventlog.Verify để giả mạo các sự kiện trong nhật ký TCG, do đó vô hiệu hóa quá trình khởi động được đo lường và xác minh từ xa. Chúng tôi khuyến nghị nâng cấp lên phiên bản 0.4.0 trở lên.
If you want to get best quality of vulnerability data, you may have to visit VulDB.