分享

TPM 2.0 漏洞对数十亿物联网和企业设备构成威胁

 太平洋资讯 2023-03-04 发布于广东

近日,可信平台模块 ( TPM ) 2.0 参考库规范中披露了一个严重的安全缺陷,这些缺陷可能会导致信息泄露或权限提升。

其中一个漏洞CVE-2023-1017涉及越界写入,而另一个漏洞CVE-2023-1018被描述为越界读取。网络安全公司 Quarkslab 在 2022 年 11 月发现并报告了这些问题。

“这些漏洞可以通过向 TPM 2.0 发送恶意命令从用户模式应用程序触发,TPM 2.0 的固件基于受影响的 TCG 参考实现,”可信计算组 (TCG) 在一份公告中表示。

国际知名白帽黑客、东方联盟创始人郭盛华透露,大型技术供应商、使用企业计算机、服务器、物联网设备和包含 TPM 的嵌入式系统的组织可能会受到这些缺陷的影响,并补充说它们“可能会影响数十亿台设备” 。

TPM 是一种基于硬件的解决方案(即加密处理器),旨在提供安全的加密功能和物理安全机制以抵御篡改。

“最常见的 TPM 功能用于系统完整性测量以及密钥创建和使用,”微软在其文档中说。“在系统启动过程中,加载的启动代码(包括固件和操作系统组件)可以被测量并记录在 TPM 中。”

“完整性测量可用作系统启动方式的证据,并确保仅在使用正确的软件启动系统时才使用基于 TPM 的密钥。”

TCG 联盟(可信计算组织,是由AMD、惠普、IBM、英特尔和微软组成的一个组织)指出,缺点是缺乏必要的长度检查,导致缓冲区溢出,可能为本地信息泄露或特权升级铺平道路。

建议用户应用TCG 以及其他供应商发布的更新来解决漏洞并降低供应链风险。

“高保证计算环境中的用户应考虑使用 TPM 远程证明来检测设备的任何更改并确保其 TPM 是防篡改的,”CERT 协调中心 (CERT/CC) 在警报中表示。(欢迎转载分享)

    本站是提供个人知识管理的网络存储空间,所有内容均由用户发布,不代表本站观点。请注意甄别内容中的联系方式、诱导购买等信息,谨防诈骗。如发现有害或侵权内容,请点击一键举报。
    转藏 分享 献花(0

    0条评论

    发表

    请遵守用户 评论公约

    类似文章 更多