Vulnérabilités dans l'implémentation de référence du TPM 2.0, permettant d'accéder aux données dans la puce cryptographique

Le code de l'implémentation de référence de la spécification TPM 2.0 (Trusted Platform Module) présente des vulnérabilités (CVE-2023-1017, CVE-2023-1018) permettant l'écriture ou la lecture de données en dehors du buffer alloué. Une attaque contre les implémentations de processeurs cryptographiques utilisant le code vulnérable peut entraîner l'extraction ou la réécriture d'informations stockées sur la puce, telles que des clés cryptographiques. La possibilité de réécrire les données dans le firmware TPM peut être exploitée par un attaquant pour exécuter son propre code dans le contexte du TPM, ce qui peut, par exemple, être utilisé pour mettre en œuvre des backdoors fonctionnant du côté du TPM et non détectables depuis le système d'exploitation.

Les vulnérabilités sont dues à une vérification incorrecte de la taille des paramètres de la fonction CryptParameterDecryption(), permettant l'écriture ou la lecture de deux octets en dehors du buffer transmis à la fonction ExecuteCommand() contenant la commande TPM 2.0. Selon l'implémentation du firmware, les deux octets réécrits peuvent corrompre à la fois de la mémoire non utilisée et des données ou des pointeurs sur la pile.

L'exploitation de la vulnérabilité se fait en envoyant au module TPM des commandes spécialement formatées (l'attaquant doit avoir accès à l'interface TPM). Les problèmes ont été résolus dans la mise à jour de janvier de la spécification TPM 2.0 (1.59 Errata 1.4, 1.38 Errata 1.13, 1.16 Errata 1.6).

La bibliothèque ouverte libtpms, utilisée pour l'émulation logicielle des modules TPM et l'intégration du support TPM dans les hyperviseurs, est également vulnérable. La vulnérabilité a été corrigée dans la version libtpms 0.9.6.

Source : opennet.ru