CVE-2021-42299 é uma nova vulnerabilidade no Microsoft Surface Pro 3 laptops. A falha pode permitir que os invasores introduzam dispositivos maliciosos nas redes corporativas, comprometendo o mecanismo de atestação do dispositivo. Como explicado por Microsoft, este mecanismo ajuda a confirmar a identidade de um dispositivo. Ele é configurado em uma entrada de inscrição e informa ao serviço de provisionamento qual método usar ao verificar a identidade de um dispositivo durante o registro.
relacionado: Os hackers estão explorando as falhas do Microsoft Exchange do ProxyShell (CVE-2021-34473)
CVE-2021-42299: TPM Carte Blanche
A vulnerabilidade foi chamada de TPM Carte Blanche pelo engenheiro de software do Google Chris Fenner, quem descobriu e relatou a falha. atualmente, não há indicação de que outros dispositivos Surface, como Surface Pro 4 e livro de superfície, são afetados pela vulnerabilidade. Contudo, pesquisadores alertam que outros dispositivos não Microsoft que executam um BIOS semelhante também podem ser expostos a este ataque.
Em termos de como a vulnerabilidade pode ser explorada: “Dispositivos usam registros de configuração de plataforma (PCRs) para registrar informações sobre a configuração do dispositivo e do software para garantir que o processo de inicialização seja seguro. O Windows usa essas medições de PCR para determinar a integridade do dispositivo. Um dispositivo vulnerável pode se mascarar como um dispositivo íntegro, estendendo valores arbitrários no registro de configuração da plataforma (PCR) bancos,”De acordo com o comunicado oficial da Microsoft.
A exploração do dispositivo requer acesso físico, ou comprometimento anterior das credenciais legítimas de um usuário na máquina de destino. Isso torna a vulnerabilidade mais difícil de explorar, mas ainda é severo em sua natureza.
“No Surface Pro afetado 3 Versões BIOS, quando os bancos SHA1 e SHA256 PCR estão habilitados, o banco SHA256 não foi estendido. Isso permite que um adversário falsifique o atestado de integridade com base no TPM, estendendo medições falsas para o TPM e obtendo uma cotação válida sobre as medições falsas,”De acordo com o artigo técnico disponível no GitHub. Uma prova de conceito também está disponível.
Em um ataque real, a vulnerabilidade pode ser explorada para buscar um código falso da Microsoft (Atestado de integridade do dispositivo) certificado obtendo o TCG Log, responsável por registrar as medições feitas durante uma sequência de inicialização. Assim que for obtido, o invasor pode enviar uma solicitação de atestado de integridade válida para o serviço DHA.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: