Güvenilir Platform Modülü (TPM) 2.0 referans kitaplığı belirtiminde, potansiyel olarak bilgi ifşasına veya ayrıcalık artışına yol açabilecek bir çift ciddi güvenlik hatası açıklandı.
Güvenlik açıklarından biri, CVE-2023-1017sınırların dışında bir yazma ile ilgilidir, diğeri ise, CVE-2023-1018, sınırların dışında bir okuma olarak tanımlanır. Kasım 2022’de sorunları keşfeden ve bildiren siber güvenlik şirketi Quarkslab’dır.
Trusted Computing Group (TCG) bir danışma belgesinde, “Bu güvenlik açıkları, üretici yazılımı etkilenen bir TCG referans uygulamasını temel alan bir TPM 2.0’a kötü amaçlı komutlar göndererek kullanıcı modu uygulamalarından tetiklenebilir.”
Quarkslab, büyük teknoloji satıcılarının, kurumsal bilgisayarları, sunucuları, IoT cihazlarını ve TPM içeren gömülü sistemleri kullanan kuruluşların kusurlardan etkilenebileceğini belirterek, bunların “milyarlarca cihazı etkileyebileceğini” de sözlerine ekledi.
TPM, kurcalama çabalarına direnmek için güvenli kriptografik işlevler ve fiziksel güvenlik mekanizmaları sağlamak üzere tasarlanmış donanım tabanlı bir çözümdür (yani bir kripto işlemci).
Microsoft, belgelerinde “En yaygın TPM işlevleri, sistem bütünlüğü ölçümleri ve anahtar oluşturma ve kullanım için kullanılır” diyor. “Bir sistemin önyükleme işlemi sırasında, yüklenen önyükleme kodu (firmware ve işletim sistemi bileşenleri dahil) ölçülebilir ve TPM’ye kaydedilebilir.”
“Bütünlük ölçümleri, bir sistemin nasıl başladığının kanıtı olarak ve yalnızca sistemi başlatmak için doğru yazılım kullanıldığında TPM tabanlı bir anahtarın kullanıldığından emin olmak için kullanılabilir.”
TCG konsorsiyumu, eksikliklerin gerekli uzunluk kontrollerinin olmamasından kaynaklandığını ve yerel bilgilerin ifşa edilmesinin veya ayrıcalıkların yükseltilmesinin önünü açabilecek arabellek taşmalarıyla sonuçlandığını belirtti.
Kullanıcıların, kusurları gidermek ve tedarik zinciri risklerini azaltmak için TCG ve diğer satıcılar tarafından yayınlanan güncellemeleri uygulamaları önerilir.
CERT Koordinasyon Merkezi (CERT/CC) bir uyarıda, “Yüksek güvenceli bilgi işlem ortamlarındaki kullanıcılar, cihazlardaki herhangi bir değişikliği algılamak ve TPM’lerinin kurcalamaya karşı korumalı olduğundan emin olmak için TPM Uzaktan Onaylamayı kullanmayı düşünmelidir.”