{"id":160597,"date":"2026-02-11T17:11:57","date_gmt":"2026-02-11T15:11:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-pozvolyayushhaya-obojti-mehanizm-zashhity-intel-tdx"},"modified":"2026-02-11T17:11:57","modified_gmt":"2026-02-11T15:11:57","slug":"uyazvimost-pozvolyayushhaya-obojti-mehanizm-zashhity-intel-tdx","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-pozvolyayushhaya-obojti-mehanizm-zashhity-intel-tdx","title":{"rendered":"Kwetsbaarheid die de Intel TDX-beveiligingsmechanisme omzeilt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De bedrijven Google en Intel hebben de resultaten (PDF) van hun gezamenlijke audit over de beveiliging van de Intel TDX 1.5 (Trusted Domain Extensions) onthuld. De Intel TDX-technologie biedt de mogelijkheid tot het versleutelen van het geheugen van virtuele machines om ze te beschermen tegen inmenging en analyse door de beheerder van het host-systeem en fysieke aanvallen op de hardware. De audit heeft zes kwetsbaarheden en 35 niet-beveiligingsproblemen ontdekt. <\/p>\n
De problemen treffen de Intel Xeon 6 CPU, evenals de 4e en 5e generatie Intel Xeon Scalable-processoren. De kwetsbaarheden zijn verholpen in de microcode-update van gisteren. Op GitHub is een toolkit gepubliceerd voor het exploiteren van de kwetsbaarheden in Intel TDX, evenals prototype-exploits voor twee kwetsbaarheden (CVE-2025-30513, CVE-2025-32007). <\/p>\n
De meest gevaarlijke kwetsbaarheid (CVE-2025-30513) stelt een onbetrouwbare beheerder met toegang tot het host-systeem in staat zijn rechten te verhogen en de beveiligingsgaranties die door Intel TDX worden geboden volledig te compromitteren. De kwetsbaarheid wordt veroorzaakt door een raceconditie in een van de TDX-modules, waardoor tijdens de migratie van een virtuele machine de beveiligde omgeving (TD \u2014 Trusted Domain) van een migratiestatus naar een status kan worden overgebracht die de overgang naar de debugmodus toelaat. <\/p>\n
Het probleem wordt veroorzaakt door de mogelijkheid om omgevingsattributen te wijzigen na hun verificatie, maar voordat ze in een onveranderlijke toestand in de overgebrachte omgeving worden geplaatst. Nadat het debug-attribuut is ingesteld, kan de beheerder van het host-systeem in real-time de activiteit van het beveiligde gastbesturingssysteem volgen en toegang krijgen tot de gedecrypteerde geheugenstatus. <\/p>\n
De kwetsbaarheid is relatief eenvoudig te exploiteren, omdat de beheerder op elk moment het live-migratieproces van de beveiligde virtuele machine kan initi\u00ebren. Het probleem werd ontdekt door onderzoekers van Google, die tijdens hun studie van de API op een discrepantie stuitten tussen hoe de status van operaties in de FSM (Finite State Machine) wordt bijgehouden, hoe de onderbreking van de importoperatie wordt verwerkt en hoe de status van de beveiligde omgeving wordt gewijzigd, maar niet wordt teruggebracht naar de oorspronkelijke waarde na een fout. <\/p>\n
Minder ernstige kwetsbaarheden: <\/p>\n
\n
CVE-2025-32007 \u2014 een integer overflow in de code voor het parseren van metadata, leidend tot een lek van 8 KB aan ontsleutelde gegevens uit de stack van de huidige logische processor (LP, Logical Processor) tijdens live-migratie.\n
CVE-2025-32467 \u2014 het gebruik van niet-ge\u00efnitialiseerde variabelen in enkele TDX-modules kan leiden tot een lek van restinfo.\n
CVE-2025-27572 \u2014 het vastleggen van vertrouwelijke gegevens tijdens speculatieve uitvoering van instructies kan leiden tot een lek van informatie.\n
CVE-2025-27940 \u2014 het lezen uit geheugen buiten de toegewezen buffer kan leiden tot een lek van informatie.\n
CVE-2025-31944 \u2014 een raceconditie die kan leiden tot een denial-of-service. <\/ul>\n