Une paire de failles de s\u00e9curit\u00e9 graves a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans le module de plate-forme s\u00e9curis\u00e9e (MTP<\/a>) Sp\u00e9cification de la biblioth\u00e8que de r\u00e9f\u00e9rence 2.0 susceptible d’entra\u00eener la divulgation d’informations ou l’\u00e9l\u00e9vation des privil\u00e8ges.<\/p>\n Une des vuln\u00e9rabilit\u00e9s, CVE-2023-1017<\/strong>concerne une \u00e9criture hors limites, tandis que l’autre, CVE-2023-1018<\/strong>, est d\u00e9crit comme une lecture hors limites. La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Quarkslab est cr\u00e9dit\u00e9e d’avoir d\u00e9couvert et signal\u00e9 les probl\u00e8mes en novembre 2022.<\/p>\n “Ces vuln\u00e9rabilit\u00e9s peuvent \u00eatre d\u00e9clench\u00e9es \u00e0 partir d’applications en mode utilisateur en envoyant des commandes malveillantes \u00e0 un TPM 2.0 dont le micrologiciel est bas\u00e9 sur une impl\u00e9mentation de r\u00e9f\u00e9rence TCG affect\u00e9e”, a d\u00e9clar\u00e9 le Trusted Computing Group (TCG). a dit<\/a> dans un avis.<\/p>\n Les grands fournisseurs de technologie, les organisations utilisant des ordinateurs d’entreprise, des serveurs, des appareils IoT et des syst\u00e8mes embarqu\u00e9s qui incluent un TPM peuvent \u00eatre affect\u00e9s par les failles, Quarkslab indiqu\u00e9<\/a>ajoutant qu’ils “pourraient affecter des milliards d’appareils”.<\/p>\n TPM est une solution mat\u00e9rielle (c’est-\u00e0-dire un crypto-processeur) con\u00e7ue pour fournir des fonctions cryptographiques s\u00e9curis\u00e9es et des m\u00e9canismes de s\u00e9curit\u00e9 physique pour r\u00e9sister aux efforts de falsification.<\/p>\n “Les fonctions TPM les plus courantes sont utilis\u00e9es pour les mesures d’int\u00e9grit\u00e9 du syst\u00e8me et pour la cr\u00e9ation et l’utilisation de cl\u00e9s”, Microsoft dit<\/a> dans sa documentation. “Pendant le processus de d\u00e9marrage d’un syst\u00e8me, le code de d\u00e9marrage charg\u00e9 (y compris le micrologiciel et les composants du syst\u00e8me d’exploitation) peut \u00eatre mesur\u00e9 et enregistr\u00e9 dans le TPM.”<\/p>\n “Les mesures d’int\u00e9grit\u00e9 peuvent \u00eatre utilis\u00e9es comme preuve du d\u00e9marrage d’un syst\u00e8me et pour s’assurer qu’une cl\u00e9 bas\u00e9e sur TPM n’a \u00e9t\u00e9 utilis\u00e9e que lorsque le logiciel correct a \u00e9t\u00e9 utilis\u00e9 pour d\u00e9marrer le syst\u00e8me.”<\/p>\n Le consortium TCG a not\u00e9 que les lacunes sont le r\u00e9sultat d’un manque de v\u00e9rifications de longueur n\u00e9cessaires, entra\u00eenant des d\u00e9bordements de m\u00e9moire tampon qui pourraient ouvrir la voie \u00e0 la divulgation d’informations locales ou \u00e0 l’escalade des privil\u00e8ges.<\/p>\n Il est recommand\u00e9 aux utilisateurs de appliquer les mises \u00e0 jour<\/a> publi\u00e9 par TCG ainsi que d’autres fournisseurs pour corriger les d\u00e9fauts et att\u00e9nuer les risques de la cha\u00eene d’approvisionnement.<\/p>\n “Les utilisateurs dans des environnements informatiques \u00e0 haute assurance devraient envisager d’utiliser l’attestation \u00e0 distance TPM pour d\u00e9tecter toute modification apport\u00e9e aux appareils et s’assurer que leur TPM est inviolable”, a d\u00e9clar\u00e9 le centre de coordination CERT (CERT\/CC). a dit<\/a> dans une alerte.<\/p>\n <\/p>\n