Trusted Computing Group’un Trust Platform Module 2.0 referans kitaplığı spesifikasyonunda, tehdit aktörlerinin yalnızca TPM tarafından kullanılabilen, salt okunur hassas verilere erişmek veya normal şekilde korunan verilerin üzerine yazmak için kullanabileceği iki arabellek taşması güvenlik açığı olduğu keşfedildi.
TPM 2.0’ın Komut arabirimine erişim sağlayan kötü niyetli bir kişi, modüle özel hazırlanmış komutlar göndererek bu güvenlik açığından yararlanma olanağına sahiptir.
Sonuç olarak bu güvenlik açıklarından yararlanarak zarara neden olabilirler.
Trusted Computing Group (TCG), kullanıcıların bu güvenlik açıklarını azaltmaları ve düzeltmeleri için bir güvenlik danışma belgesi yayınladı.
CVE-2023-1017: Sınır Dışına Yazma Güvenlik Açığı
Bu güvenlik açığı TPM2.0’ın Modül Kitaplığı’nda bulunmaktadır ve bir tehdit aktörünün CryptParameterDecryption rutinindeki TPM2.0 komutunun sonunun ötesinde 2 baytlık veri yazmasına olanak verebilir.
Bu güvenlik açığından başarıyla yararlanılması, hizmet reddine veya rastgele kod yürütülmesine yol açabilir.
Bu güvenlik açığının ciddiyeti 7,8 (Yüksek).
CVE-2023-1018: Sınır Dışı okuma güvenlik açığı
Bu güvenlik açığı TPM2.0’ın Modül Kitaplığı’nda bulunmaktadır ve bir tehdit aktörünün CryptParameterDecryption rutinindeki TPM2.0 komutunun sonunun ötesinde 2 baytlık verileri okumasına olanak verebilir.
Bu güvenlik açığından başarıyla yararlanılması, bir tehdit aktörünün hassas verileri okumasına veya bunlara erişmesine olanak tanıyabilir.
Bu güvenlik açığının ciddiyeti 5,5 (Orta).
Etkilenen Satıcıların Ürünleri
Bu güvenlik açıklarından etkilenen Ürün Satıcılarından bazıları arasında IBM’in sponsor olduğu libtpm’ler, NetBSD, NixOS, Red Hat, Squid, SUSE Linux ve Trusted Computing Group yer alıyor.
Ancak bu satıcılar bu güvenlik açıklarını gidermek için güvenlik yamaları yayımladı.
Bu ürünlerin kullanıcıları ve satıcıları, bu güvenlik açıklarından yararlanılmasını önlemek için en son sürümlere yükseltme yapmalıdır.
StorageGuard ile depolama ve yedekleme sistemlerinizi korur – 40 saniyelik Video Turunu izleyin.