Privasys Go-Fork: Fehlende Session-Bindung von RA-TLS-Attestierungsquotes
Zusammenfassung
Der Privasys Go-Fork, eine Go-Toolchain-Erweiterung für RA-TLS in crypto/tls, band Attestierungsquotes im Challenge-Modus nicht an die aktive TLS-Session. Ein Angreifer, der einen TLS-Privatschlüssel einer Enklave erlangt hat, könnte ein echtes Quote auf eine andere Verbindung weiterleiten. Eine vertrauende Partei könnte so einen vom Angreifer abgeschlossenen Handshake als attestierte Enklave-Verbindung akzeptieren.
Betroffen
- Privasys Go vor privasys-v0.5.1-go1.26.5
- Gemäss Herstellerhinweis sind Versionen bis privasys-v0.3.0-go1.26.5 betroffen; der Status der Versionen zwischen v0.3.0 und v0.5.1 ist unbekannt.
Behoben in
- privasys-v0.5.1-go1.26.5 (veröffentlicht am 10. Juli 2026)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Die Ausnutzung erfordert den TLS-Privatschlüssel der Enklave; laut Hersteller setzt dessen Erlangung die Umgehung der Speicherisolation einer TEE voraus.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Prüfen Sie, ob Privasys Go in Ihrer Software, in Build-Manifesten oder Lockfiles verwendet wird; falls nicht, ist über diese Inventarprüfung hinaus keine Massnahme nötig.
- Falls es verwendet wird, aktualisieren Sie prioritär auf privasys-v0.5.1-go1.26.5.
- Planen Sie Anpassungen der Attestierungsrichtlinien zusammen mit dem Update, da neu gebaute Enklaven andere Messwerte haben.
- Beobachten Sie den Herstellerhinweis auf Aktualisierungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Privasys Go security advisory GHSA-7jfw-53rm-phh2 github.com
- Privasys Go release privasys-v0.5.1-go1.26.5 github.com
- Fix commit 00a7d21 github.com
- Privasys blog: Binding attestation to the TLS session privasys.org
- OSV entry CVE-2026-108267 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:03.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.