CVE-2026-108361

WysokieCVSS 7.2

Opublikowano: 12/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Streszczenie

Biblioteka Privasys Remote Attestation TLS Clients przed wersją 0.9.1 przeprowadza atestację tylko raz, w momencie nawiązania połączenia TLS. Atakujący z dostępem lokalnym może w dowolnym momencie po ustanowieniu połączenia zmodyfikować kod, dane i konfigurację workloadu, a weryfikujący peer nadal uznaje stan za zgodny z pierwotnym Evidence.

Ocena ryzyka

Organizacja może działać w oparciu o nieaktualny stan atestacji, co pozwala na uruchomienie zmodyfikowanego kodu na zaatestowanym endpointcie bez wykrycia. Prowadzi to do obejścia mechanizmów zaufania i potencjalnej kompromitacji chronionych zasobów.

Rekomendacja

Zaktualizuj Privasys/ra-tls-clients do wersji 0.9.1 lub nowszej, która usuwa lukę. Do czasu aktualizacji ogranicz dostęp lokalny do endpointów pełniących rolę Attestera.

Inne podatności w Privasys Remote Attestation TLS Clients

CVE-2026-108362Krytyczne
W bibliotece Privasys Remote Attestation TLS Clients przed wersją 0.11.0 dowody atestacji TEE są akceptowane bez wymagania jawnie autoryzowanej tożsamości platformy. Atakujący w sieci może sfałszować dowody lub wydobyć sekrety atestacji z przejętej, nieunieważnionej platformy, a weryfikator zaakceptuje pomiary z innej platformy TEE jako pochodzące od zamierzonego Atestera. Umożliwia to podszycie się pod atestowany punkt końcowy TLS.

Oryginalny opis (angielski, źródło NVD)

Privasys Remote Attestation TLS Clients provides multi-language utilities for verifying attested TLS connections. Before 0.9.1, an attacker with local access could modify workload code, data, and configuration at any time after successful connection establishment. Once Evidence was successfully appraised and the connection was established, there was a window of vulnerability from the establishment of the connection to the termination of the connection where an attacker could modify the state of the workload and platform at runtime on the TLS endpoint acting as the Attester. This vulnerability was possible because Privasys/ra-tls-clients performed attestation only once in the lifetime of the connection (at connection establishment time), and the verifying peer continued to believe that the state was the same as in the initial Evidence throughout, whereas it could be stale at some point in time. This vulnerability is fixed in 0.9.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS