Evervault - это решение для обеспечения оплаты. Уязвимость была выявлена в логике проверки аттестации SDK в версиях «evervault-go`» до 1.3.…

Evervault - это решение для обеспечения оплаты. Уязвимость была выявлена в логике проверки аттестации SDK в версиях «evervault-go`» до 1.3.2, которая может позволить неполным документам пройти проверку. Это может привести к тому, что клиент доверит оператору анклава, который не соответствует ожидаемым гарантиям целостности. Эксплуатируемость этой проблемы ограничена в средах, размещенных Evervault, поскольку злоумышленнику потребуется предварительная возможность подавать запросы от конкретных доменных имен Evervault, следуя нашему конвейеру приобретения сертификатов TLS на основе вызова ACME. Уязвимость в первую очередь затрагивает приложения, которые проверяют только ПЦР8. Хотя эффективность также снижается для приложений, которые проверяют все значения ПЦР, воздействие в значительной степени устраняется путем проверки ПЦР 0, 1 и 2. Выявленная проблема была решена в версии 1.3.2 путем проверки аттестационных документов перед хранением в кэше и замены наивных проверок на равенство новой проверкой «Удовлетворенный». Те, кто использует Evervault-go, чтобы засвидетельствовать анклавы, которые размещены за пределами сред Evervault и не могут обновиться, имеют два возможных обходных раунда. Измените логику приложения, чтобы не проверить, если PCR8 явно не присутствует и не пуст и/или добавит пользовательские предварительные проверки, чтобы отклонить документы, которые опускают любые требуемые ПЦР.