Podatności OP-TEE

W implementacji AES-GCM w rdzeniu OP-TEE występuje podatność na przepełnienie 32-bitowej liczby całkowitej. Po przetworzeniu ponad 512 megabajtów danych lub dodatkowych danych uwierzytelnionych (AAD) znacznik uwierzytelnienia jest obliczany z nieprawidłowymi wartościami długości bitowej.

W OP-TEE od wersji 3.20.0 do 4.10.0 występuje podatność w mechanizmie ochrony przed wycofaniem podkluczy. Funkcja `shdr_load_pub_key()` nie przypisuje wersji podklucza do struktury runtime, co powoduje, że pole wersji pozostaje zerowe. W rezultacie sprawdzanie aktualizacji wersji (`check_update_version()`) nie rejestruje prawidłowej wersji, umożliwiając ładowanie zaufanych aplikacji (TA) podpisanych starszymi lub wycofanymi podkluczami.

W OP-TEE od wersji 3.3.0 do 4.10.0 występuje wyciek zasobów w funkcji `cleanup_shm_refs()`, która nie stosuje maski bitowej do atrybutów parametrów. Powoduje to pomijanie wywołania `mobj_put()` dla nieciągłych parametrów pamięci, prowadząc do narastającego wycieku obiektów `mobj_reg_shm` i wyczerpania sterty w bezpiecznym świecie.

W implementacji RSA PKCS#1 v1.5 w sterowniku kryptograficznym Hisilicon HPRE w OP-TEE wykryto podatność typu Bleichenbacher. Użycie niestałego czasowo porównania `memcmp()` oraz rozróżnialne ścieżki błędów umożliwiają atakującemu odzyskanie tekstu jawnego.

W implementacji RSA-OAEP w sterowniku kryptograficznym NXP CAAM dla OP-TEE (wersje 3.9.0 do 4.10.0) użyto niestałego czasowo porównania `memcmp()` do weryfikacji skrótu etykiety oraz zastosowano rozróżnialne ścieżki błędów. Umożliwia to atakującemu odtworzenie tekstu jawnego RSA-OAEP poprzez około 1000-2000 adaptacyjnych zapytań szyfrogramu, wykorzystując wyrocznię dopełnienia typu Manger.

W implementacji RSA-OAEP w sterowniku kryptograficznym Hisilicon HPRE w OP-TEE wykryto podatność na atak typu padding oracle. Użycie niestałego czasowo memcmp() do weryfikacji skrótu etykiety oraz rozróżnialne ścieżki błędów umożliwiają odzyskanie tekstu jawnego RSA-OAEP przy około 1000-2000 zapytań.

W OP-TEE od wersji 3.10.0 do 4.10.0 występuje podatność na nieograniczoną rekurencję w PKCS#11 TA, która może doprowadzić do awarii systemu. Problem został naprawiony w wersji 4.11.0.

W implementacji SHA-3 przyspieszanej przez rozszerzenia kryptograficzne ARM w OP-TEE wykryto błąd off-by-one, który może prowadzić do ogromnego przepełnienia sterty, niszcząc całą pamięć jądra TEE po stanie skrótu. Podatność dotyczy wersji od 3.21.0 do 4.11.0, gdy włączona jest opcja `CFG_CRYPTO_WITH_CE82=y`.

W OP-TEE OS od wersji 4.3.0 do 4.11.0 występuje podatność typu confusion typu podczas przetwarzania żądania FFA_MEM_SHARE ze świata normalnego. Dotyczy to tylko konfiguracji z CFG_CORE_SEL1_SPMC=y i CFG_SECURE_PARTITION=y.

OP-TEE przed wersją 4.11.0 nie weryfikuje, czy klucz publiczny ECDH należy do poprawnej krzywej. Atakujący z normalnego świata może przesłać około 30-40 spreparowanych kluczy publicznych, co pozwala na odtworzenie prywatnego klucza.

W OP-TEE w wersjach od 3.16.0 do 4.10.0 występuje podatność use-after-free (UAF) w logice usuwania pamięci współdzielonej w przepływach FF-A SPMC/SP, która może być wykorzystana przez wątek wywołujący sp_mem_remove() bez blokady, podczas gdy inny wątek odwołuje się do zwolnionego obiektu.