Encontradas novas vulnerabilidades na biblioteca TPM 2.0
Novas vulnerabilidades encontradas na biblioteca TPM 2.0 podem representar uma ameaça em potencial para bilhões de dispositivos em todo mundo.
A empresa de cibersegurança Quarkslab emitiu uma nota preocupante a respeito da biblioteca TPM2.0.
De acordo com a Quarkslab, bilhões de dispositivos podem ser afetados, já que os módulos de autenticação TPM 2.0 são usados em tudo, desde servidores até dispositivos IoT e tem sido a principal solução de criptografia baseada em hardware por quase uma década até agora.
As duas vulnerabilidades estão sob os identificadores CVE de CVE-2023-1017 e CVE-2023-1018, onde a primeira permite gravações fora dos limites, enquanto a segunda permite leituras fora dos limites, também conhecidas como buffer vulnerabilidades de estouro. Isso em si pode não parecer particularmente preocupante, mas como ambos podem ser acionados a partir de aplicativos de modo de usuário, eles são muito importantes, pois permitiriam que comandos maliciosos fossem enviados para um módulo TPM 2.0, o que poderia, por sua vez, permitir software a ser instalado no dispositivo com o módulo TPM 2.0.
O invasor pode se aproveitar das duas falhas do TPM 2.0, que depende da interface de comando do TPM. caso o invasor obtenha acesso de usuario no sistema, não há uma maneira facil de se proteger contra um ataque.
O Trusted Computing Group (TCG), responsável pelo padrão TPM, já emitiu uma errata que inclui instruções sobre como lidar com as duas vulnerabilidades, cabe a nos esperar que os fabricantes de hardware disponibilizem atualizações para correção da falha.
É interessante que o Windows 11 destacou-se por ser “teoricamente” o sistema mais seguro ja criado pela Microsoft, conforme a própria Microsoft entitulou o sistema em seu lançamento, e a existencia de hardware com o recurso de TPM 2.0 é um dos requisitos para que sistema seja instalado.
Fica aquela duvida, estariam dispositivos que se utilizam desta tecnologia de criptografia, mais vulneráveis do que os sistemas que não ha tem? – Somente o tempo dirá.
Fonte: TechPowerUp