CVE-2025-64186

Nome do Software Vulnerável e Versões Afetadas Versões do Evervault-go anteriores à 1.3.2

Descrição Existe uma falha na lógica de verificação de atestação do SDK evervault-go. Este problema pode permitir que documentos incompletos passem pela validação, potencialmente levando um cliente a confiar em um operador de enclave que não cumpre as garantias de integridade esperadas. A explorabilidade deste problema é limitada em ambientes hospedados pela Evervault, pois um atacante precisaria ter a capacidade de atender solicitações provenientes de nomes de domínio específicos da Evervault. A vulnerabilidade impacta principalmente aplicações que verificam apenas o PCR8. A verificação dos PCRs 0, 1 e 2 mitiga significativamente o impacto, mesmo para aplicações que verificam todos os valores de PCR. O problema envolve o tratamento de documentos de atestação e verificações de igualdade pelo SDK. A função verifyPCRs está envolvida no processo.

Recomendações As versões anteriores à 1.3.2 devem ser atualizadas para a versão 1.3.2, que valida documentos de atestação antes do cache e substitui verificações de igualdade ingênuas por uma verificação SatisfiedBy. Caso a atualização não seja imediatamente possível para Enclaves hospedados fora dos ambientes da Evervault, modifique a lógica da aplicação para falhar na verificação se o PCR8 não estiver explicitamente presente e não estiver vazio, ou adicione uma pré-validação personalizada para rejeitar documentos que omitam quaisquer PCRs necessários.