【セキュリティ】Windows 11の要件でもあるTPM 2.0に脆弱性。数十億台に影響

2023年3月7日

1: 香味焙煎 ★ 2023/03/07(火) 18:33:23.70 ID:guBX6ZtU9

　デバイスに対しハードウェア的なセキュリティ機能を提供するTPM 2.0モジュールライブラリに脆弱性2種類(共通脆弱性識別子:CVE-2023-1018、CVE-2023-1017)が見つかった。この脆弱性を悪用すると、サービス拒否またはTPMコンテキストで任意のコードを実行したり、TPMに保存されている機密データにアクセスしたりできるようになる。影響は数十億台規模にのぼる可能性があるという。

この脆弱性は、セキュリティ企業Quarkslabの研究者によって、TPM 2.0の参照ライブラリの仕様の中で発見された。具体的には、TPMコマンドの一部であるパラメータの一部を処理する方法「CryptParameterDecryption()」にルーチンの範囲外(アウトオブバウンド)読み込みの不具合があり、現在のセッションの一部にはない2バイトの読み取りアクセスが可能だったという。

攻撃者は、巧妙に細工されたコマンドをTPMに送信することでバグをトリガーでき、意図した操作の一部ではないデータにアクセスできてしまう。OSはTPMファームウェアのセキュリティ機能に依存しているため、従来のホストベースのセキュリティ機能では検出または困難になる場合があるとしている。

TPM 2.0を策定したTrusted Computing Groupは既にこの問題をエラッタとして認識しており、更新プログラムを提供することで脆弱性に対処する。ユーザーとしては、サプライチェーンを通じ、ハードウェアまたはソフトウェア製造元から更新プログラムをできるだけ早く適用する必要があるとしている。

Impress
2023年3月7日 13:17
https://pc.watch.impress.co.jp/docs/news/1483855.html

引用元: ・【セキュリティ】Windows 11の要件でもあるTPM 2.0に脆弱性。数十億台に影響 [香味焙煎★]

2: 新規スレ立て人募集　社説＋の募集スレまで 2023/03/07(火) 18:34:00.80 ID:4G/P47940

き、脆弱性

3: 新規スレ立て人募集　社説＋の募集スレまで 2023/03/07(火) 18:34:15.72 ID:fzzQEWnc0

おいこらあ！

4: 新規スレ立て人募集　社説＋の募集スレまで 2023/03/07(火) 18:34:39.30 ID:RqJUe65x0

11は元からゴミだったがこんな爆弾まで抱えてたのか
踏んだり蹴ったりだな

5: 新規スレ立て人募集　社説＋の募集スレまで 2023/03/07(火) 18:35:16.51 ID:0I9qT9uN0

ファイファンファンタジーは６が最高やで

6: 新規スレ立て人募集　社説＋の募集スレまで 2023/03/07(火) 18:35:42.80 ID:y7R0ceTl0

人間に完全なものを作るのは無理や