Уязвимости в референтната реализация на TPM 2.0, позволяващи достъп до данни в крипто чипа

В кода с еталонна реализация на спецификацията TPM 2.0 (Trusted Platform Module) са открити уязвимости (CVE-2023-1017, CVE-2023-1018), които водят до запис или четене на данни извън зададения буфер. Атаката върху реализациите на криптопроцесорите, използващи уязвимия код, може да доведе до извличане или презаписване на информация, съхранявана на чипа, като например криптографски ключове. Възможността за презаписване на данни в фърмуера на TPM може да бъде използвана от атакуващия, за да организира изпълнението на своя код в контекста на TPM, което, например, може да бъде използвано за реализиране на бекдори, работещи на страната на TPM и невидими от операционната система.

Уязвимостите са причинени от неправилна проверка на размера на параметрите на функцията CryptParameterDecryption(), която допуска запис или четене на два байта извън буфера, предаван на функцията ExecuteCommand() и съдържащ командата TPM2.0. В зависимост от реализацията на фърмуера, презаписаните два байта могат да повредят както неизползваемата памет, така и данни или указатели в стека.

Експлоатацията на уязвимостта се извършва чрез изпращане на специално форматирани команди до модула TPM (атакуващият трябва да има достъп до интерфейса на TPM). Проблемите са отстранени в издаденото през януари обновление на спецификацията TPM 2.0 (1.59 Errata 1.4, 1.38 Errata 1.13, 1.16 Errata 1.6).

Уязвимости е подложена и отворената библиотека libtpms, която се използва за софтуерна емуляция на модули TPM и интеграция на поддръжка на TPM в хипервизори. Уязвимостта е отстранена в изданието libtpms 0.9.6.

Източник: opennet.ru