Falhas do tipo CWE-1247

3 resultados

Proteção inadequada contra glitches de tensão e clock

Fraqueza em sistemas embarcados e criptográficos onde o código não se defende contra flutuações deliberadas de tensão ou frequência de clock durante a execução. Um atacante pode induzir erros lógicos (pulando instruções, corrompendo operações criptográficas) para contornar autenticação, extrair chaves ou alterar o comportamento do programa.

Exemplo

Um microcontrolador executa a verificação de uma senha. Um atacante reduz a tensão de alimentação ou injeta um glitch de clock durante a comparação, fazendo a CPU pular a instrução de rejeição; o software então libera acesso mesmo com senha errada, ou um algoritmo de criptografia produz saídas parcialmente corretas que permitem recuperação de chaves.

Como mitigar

Implemente detecção de anomalias (sensores de voltagem/frequência), estruturas de código com redundância (verificações duplas ou triplas de operações críticas), e use bibliotecas de criptografia com proteção contra fault injection. Em hardware, adicione reguladores robusto de tensão e monitores de clock.

CVE-2022-31224LOWDell BIOS versions contain an Improper Protection Against Voltage and Clock Glitches vulnerability. An attacker with physical access to the EPSS 0.2%CVE-2024-4760MEDIUMVoltage glitch during startup of the EEFC NVM controller can bypass the security bitEPSS 0.2%CVE-2025-54520HIGHImproper Protection Against Voltage and Clock Glitches in FPGA devices, could allow an attacker with physical access to undervolt the platfoEPSS 0.2%