Hai lỗ hổng gồm CVE-2023-1017 được xác định là ghi ngoài giới hạn (out-of-bounds write) và CVE-2023-1018 được mô tả là đọc ngoài giới hạn (out-of-bounds read) đã được Công ty an ninh mạng Quarkslab tìm ra và báo cáo vào tháng 11 năm 2022.
“Những lỗ hổng này có thể được kích hoạt từ các ứng dụng ở chế độ người dùng bằng cách gửi các lệnh độc hại đến TPM 2.0 có firmware dựa trên triển khai tham chiếu TCG bị ảnh hưởng”, Trusted Computing Group (TCG) cho hay.
Quarkslab lưu ý rằng các hãng cung cấp công nghệ lớn, các tổ chức sử dụng máy tính doanh nghiệp, máy chủ, thiết bị IoT và hệ thống nhúng bao gồm TPM đều có thể bị ảnh hưởng bởi hai lỗ hổng.
TPM là một giải pháp dựa trên phần cứng (hardware-based solution) được thiết kế để cung cấp các chức năng mã hóa an toàn và cơ chế bảo mật vật lý để chống lại các nỗ lực giả mạo.
“Các chức năng phổ biến nhất của TPM được sử dụng để kiểm tra tính toàn vẹn của hệ thống cũng như để tạo và sử dụng khóa”, Microsoft cho biết trong tài liệu của mình. “Trong quá trình khởi động của một hệ thống, boot code được tải (bao gồm firmware và các thành phần của hệ điều hành) có thể được kiểm tra và ghi lại trong TPM.”
CVE-2023-1017 và CVE-2023-1018 là kết quả của việc thiếu kiểm tra độ dài cần thiết, dẫn đến tràn bộ nhớ đệm (buffer overflows) có thể mở đường cho việc lột lọt thông tin hoặc leo thang đặc quyền.
Người dùng được khuyến nghị nên áp dụng các bản cập nhật do TCG cũng như các nhà cung cấp khác phát hành để vá các lỗ hổng giảm rủi ro bị khai thác.
