PTT
Submit
Submit
选择语言
正體中文
简体中文
PTT
PC_Shopping
[情报] TPM 2.0程式码被爆2个可外泄资讯的漏洞
楼主:
hn9480412
(ilinker)
2023-03-04 23:45:09
TPM 2.0程式码被爆2个可外泄资讯的漏洞
文/林妍溱 | 2023-03-03发表
攸关资料与身分安全的信赖平台模组(Trusted Platform Module,TPM)2.0近日被发现参考实作程式码有2个内存毁损漏洞,可造成装置机密资料外泄,或被骇客升级权限而执行恶意程式码。
TPM 2.0是安全密码处理器的国际标准,旨在使用装置中的安全硬件处理装置上的加密金钥,其技术规范是由信赖计算组织(Trusted Computing Group,TCG)编写。TPM 2.0是电脑安全技术不可或缺的元素,Windows 11需要TPM2.0才能安装,它也是生物辨识Windows Hello及加密技术BitLocker的关键。
两项漏洞是由Quarks Lab研究人员发现并通报,影响TPM 2.0参考实作1.59、1.38和1.16。根据TPC指出,漏洞都是发生在TPM 2.0 CryptParameterDecryption()函式。其中一个编号CVE-2023-1018是越界读取(out-of- bounds read),另一个CVE-2023-1017则是越界写入。两漏洞可被使用者模式的应用程式触发,具备基本权限的攻击者可传送有加密参数的恶意TPM 2.0指令,到以问题版本实作为基础的TPM 2.0韧体,达成攻击目的。
漏洞起因在程式码没有实作检查TPM 2.0指令长度的机制,造成内存缓冲溢位。漏洞滥用结果可引发本机内存资讯泄露,或是攻击者扩张权限。TPC还在分析是否有其他元件受两项漏洞影响。
而根据网络安全紧急回应协调中心(CERT/CC)的安全公告,除了泄露敏感资讯,某些情况下,攻击者还可以覆写TPM韧体内的受保护资料,造成在TPM崩溃或是在其中执行任意程式码。由于攻击程式是在TPM执行,因此不会被装置上的其他元件,包括安全软件侦测到。
CVE-2023-1017及CVE-2023-1018并未有官方指派的风险值,但RedHat分别将两项漏洞风险列为7.7及5.5。
TCG已释出更新版参考元件库规格以解决2项漏洞。CERT/CC呼吁用户应安装由软件厂商如OS及电脑OEM提供的更新,包括更新TPM芯片的韧体。某些情况下,OEM可能会要求TPM重设回出厂设定。
此外一些安全要求较高的环境中,使用者最好考虑使用TPM远端验证(Remote Attestation)以侦测装置上的韧体是否遭到变更或窜改。CERT强调,由于攻击发生在TPM软件中,因此密码或PIN防护、TPM-totp(time-based one-time password)等安全方案无法防堵攻击。
https://www.ithome.com.tw/news/155751
作者:
jiaxie
(Treat Myself Well)
2023-03-04 23:46:00
不开TMP遶过去就好了啊TPM
作者:
DrGun
(Dr. Gun)
2023-03-04 23:51:00
您可能是正版软件的受害者
作者:
HSKAO
(^o^)
2023-03-04 23:52:00
我装完win11就关掉tmp了XFXD
作者:
obov
(来嘘苍真)
2023-05-28 08:23:00
懒趴包喇干
作者:
wahaha99
(此方不可长)
2023-03-05 02:53:00
笑死,TPM Reset你所有加密砍掉重来不是?
作者:
ltytw
(ltytw)
2023-03-05 06:59:00
你可能是__________
作者:
widec
(☑30cm)
2023-03-05 08:13:00
笑死 TPM保护你......结果变最大加害者
作者: jasonkey123 (jasonkey123)
2023-03-05 10:22:00
真的智障,当初还吹得多安全....
作者:
hcwang1126
(王小胖)
2023-03-05 10:45:00
TPM本身被攻破了 QQ
作者:
b325019
(望月)
2023-03-05 11:21:00
又是缓冲区溢位w
作者:
dogee
(超无聊的说...)
2023-03-05 13:55:00
这东西还会影响到特战的反外挂,只能说Win11 #@
[email protected]
%@%
作者:
KevinR
(Kevin)
2023-03-05 15:54:00
PS4当初就是...
作者:
iceyang
(追)
2023-03-05 18:30:00
幸亏我没开TPM
作者: goldie (阿良)
2023-03-07 18:40:00
喔干!我才刚买颗 ASUS TPM-SPI 来插主板,准备升 Win11 说
继续阅读
[闲聊] FB上看到的屠宰场
drraujn
[请益] 工学椅与外出/办公室键盘
carsun00
Re: [心得] Windows 11 测试版
hn9480412
Re: [请益] 请问显卡有买amd的理由吗?
awxsd456
[情报] Edge新功能VSR 支援NV20系/AMD RDNA
mrme945
[菜单] 40k游戏机请益
wree45
[情报] 创巨 GigaWorks 喇叭特价
TFGlajumbo
[菜单] 45K游戏机
q25372
[开箱] T-Force Vulcan D5-5200 OC @ 测试
win8858
[菜单] 35~40K左右 游戏机
supreme0731
Links
booklink
Contact Us: admin [ a t ] ucptt.com