CVE-2026-108362
KrytyczneCVSS 9.1Streszczenie
W bibliotece Privasys Remote Attestation TLS Clients przed wersją 0.11.0 dowody atestacji TEE są akceptowane bez wymagania jawnie autoryzowanej tożsamości platformy. Atakujący w sieci może sfałszować dowody lub wydobyć sekrety atestacji z przejętej, nieunieważnionej platformy, a weryfikator zaakceptuje pomiary z innej platformy TEE jako pochodzące od zamierzonego Atestera. Umożliwia to podszycie się pod atestowany punkt końcowy TLS.
Ocena ryzyka
Organizacja może zaakceptować połączenie TLS jako pochodzące z zaufanej platformy, podczas gdy w rzeczywistości pochodzi ono od atakującego, co prowadzi do naruszenia poufności i integralności komunikacji.
Rekomendacja
Zaktualizuj bibliotekę Privasys Remote Attestation TLS Clients do wersji 0.11.0 lub nowszej, która wymusza jawną autoryzację tożsamości platformy.
Inne podatności w Privasys Remote Attestation TLS Clients
Oryginalny opis (angielski, źródło NVD)
Privasys Remote Attestation TLS Clients provides multi-language utilities for verifying attested TLS connections. Prior to 0.11.0, TEE attestation evidence in Privasys attested TLS is accepted without requiring an explicitly authorized platform identity. When a network attacker can forge evidence or extract attestation secrets from a compromised unrevoked platform, the verifier accepts valid measurements from a different unrevoked TEE platform as though they came from the intended Attester. The attacker can impersonate the attested TLS endpoint. This issue is fixed in version 0.11.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS