CVE-2021-3406

Keylime: przerwanie kryptograficznego łańcucha zaufania w agencie i rejestratorze

CVSS 9.8v3.1pub. 2021-02-25upd. 2024-11-21

W Keylime w wersji 5.8.1 i starszych wykryto krytyczną podatność polegającą na nieprawidłowej weryfikacji kryptograficznego łańcucha zaufania. Błąd w kodzie agenta i rejestratora umożliwia podważenie integralności procesu atestacji, co stanowi poważne zagrożenie dla bezpieczeństwa środowisk korzystających z TPM.

▸ Pokaż oryginał (EN)

A flaw was found in keylime 5.8.1 and older. The issue in the Keylime agent and registrar code invalidates the cryptographic chain of trust from the Endorsement Key certificate to agent attestations.

🤖 Analiza AI

Jak działa

Podatność (CWE-347, CWE-295) polega na nieprawidłowej walidacji podpisów kryptograficznych oraz certyfikatów w kodzie agenta i rejestratora Keylime. W rezultacie łańcuch zaufania prowadzący od certyfikatu Endorsement Key (EK) TPM do atestacji agenta zostaje unieważniony lub może zostać ominięty. Atakujący może dostarczyć sfabrykowane lub niezaufane dane atestacyjne, które nie zostaną prawidłowo odrzucone przez system.

Skutki

Atakujący może naruszyć poufność, integralność oraz dostępność systemu poprzez podszycie się pod zaufanego agenta lub sfałszowanie danych atestacyjnych TPM — co może prowadzić do pełnego przejęcia kontroli nad chronionym środowiskiem.

Mitygacja

Należy zaktualizować Keylime do wersji nowszej niż 5.8.1. Patche dostępne są w referencjach producenta oraz w repozytoriach Fedora Project (szczegóły w ogłoszeniu package-announce Fedory). Zaleca się również weryfikację integralności środowisk korzystających z atestacji TPM po zastosowaniu poprawki.