Fallos del tipo CWE-1283

3 resultados

Dados de Atestação ou Medição Mutáveis

Fraqueza onde dados de atestação (prova de integridade do sistema) ou medição (métricas de segurança) podem ser alterados após sua geração, comprometendo a confiabilidade da prova. O atacante consegue modificar esses dados sem detecção, invalidando a garantia de que o sistema está íntegro.

Ejemplo

Um firmware envia um hash criptográfico da sua própria integridade para um servidor remoto de verificação. Se esse hash for armazenado em memória mutável (RAM sem proteção) antes da transmissão, malware pode alterá-lo para esconder que o firmware foi comprometido.

Cómo mitigar

Armazene dados de atestação em memória imutável (read-only, selado criptograficamente ou assinado digitalmente). Use mecanismos de attestation baseados em hardware (TPM, enclave) que impeçam modificação dos dados de medição antes da transmissão.

CVE-2024-29038MEDIUMtpm2 does not detect if quote was not generated by TPMEPSS 0.4%CVE-2022-1740MEDIUM2.2.2 MUTABLE ATTESTATION OR MEASUREMENT REPORTING DATA CWE-1283EPSS 0.2%CVE-2023-3674LOWKeylime: attestation failure when the quote's signature does not validateEPSS 0.2%