PT-2025-46716
CVE-2025-64186
·
تاريخ النشر
2025-11-12
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Evervault-go الأقدم من 1.3.2
الوصف
يوجد خلل في منطق التحقق من التصديق في SDK
evervault-go. قد تسمح هذه المشكلة بمرور المستندات غير المكتملة عبر عملية التحقق من الصحة، مما قد يؤدي إلى ثقة العميل في مشغل منطقة معزولة لا يفي بضمانات السلامة المتوقعة. إمكانية استغلال هذه المشكلة محدودة في البيئات التي تستضيفها Evervault، حيث سيحتاج المهاجم إلى القدرة على تلبية الطلبات الواردة من أسماء نطاقات محددة تابعة لـ Evervault. تؤثر هذه الثغرة بشكل أساسي على التطبيقات التي تتحقق من PCR8 فقط. ويؤدي التحقق من PCRs 0 و1 و2 إلى التخفيف بشكل كبير من تأثير هذه الثغرة، حتى بالنسبة للتطبيقات التي تتحقق من جميع قيم PCR. تتعلق المشكلة بمعالجة مستندات الشهادات وعمليات التحقق من التساوي بواسطة SDK. وتشارك الدالة verifyPCRs في هذه العملية.التوصيات
يجب تحديث الإصدارات الأقدم من 1.3.2 إلى الإصدار 1.3.2، الذي يتحقق من صحة مستندات التصديق قبل التخزين المؤقت ويستبدل عمليات التحقق من التساوي البسيطة بعملية التحقق
SatisfiedBy. في حالة تعذر التحديث الفوري لـ Enclaves المستضافة خارج بيئات Evervault، قم بتعديل منطق التطبيق بحيث يفشل في التحقق إذا لم يكن PCR8 موجودًا بشكل صريح ولم يكن فارغًا، أو أضف تحققًا مسبقًا مخصصًا لرفض المستندات التي تغفل وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾