CVE-2026-92702

KrytyczneCVSS 9.1

Opublikowano: 18/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Streszczenie

Cocos AI do wersji 0.8.2 włącznie zawiera podatność w ścieżce weryfikacji aTLS dla AMD SEV-SNP, gdzie brak wymogu świeżości atestacji, gdy oczekiwana wartość reportData jest pusta lub pominięta. Pozwala to na akceptację niepowiązanego lub nieaktualnego dowodu, co może prowadzić do zaufania nieautoryzowanemu kontekstowi atestacji.

Ocena ryzyka

Strona polegająca na tej ścieżce może zostać oszukana do zaufania nieautoryzowanemu kontekstowi, co może prowadzić do naruszenia poufności lub integralności danych przetwarzanych w środowisku TEE.

Rekomendacja

Zaktualizuj Cocos AI do wersji 0.9.0 lub nowszej. Upewnij się, że zawsze dostarczana jest niepusta wartość reportData.

Inne podatności w Cocos AI

CVE-2026-92701Krytyczne
Cocos AI do wersji 0.8.2 włącznie zawiera podatność w ścieżce weryfikacji aTLS dla Intel TDX, gdzie nie kopiuje się oczekiwanej wartości świeżości do polityki ciała cytatu przed walidacją. Pozwala to na akceptację dowodu z niezgodnym lub ponownie użytym reportData, co może prowadzić do nieprawidłowego powiązania sesji.

Oryginalny opis (angielski, źródło NVD)

Cocos AI is a confidential computing system for running AI workloads inside trusted execution environments. In versions up to and including 0.8.2, the intra-handshake attested TLS (aTLS) AMD SEV-SNP verification path does not enforce attestation freshness when the expected reportData value is nil, empty, or omitted, leaving the SEV-SNP policy ReportData unset so the verifier accepts unrelated or stale Evidence not bound to the current connection. A relying party that uses this path without an expected reportData as a trust or authorization decision can be induced to trust an unintended attestation context; a supplied non-empty reportData is still validated. The issue is fixed in version 0.9.0.