DMTF libspdm: Fehlende Integritätsabdeckung von OpaqueData im FINISH-Transkript
Zusammenfassung
libspdm ist eine Referenzimplementierung des DMTF-SPDM-Protokolls, die zur Absicherung der Kommunikation zwischen Geräten wie Host-Prozessoren und Firmware-Komponenten dient. In Version 1.4.0 decken die FINISH- und FINISH_RSP-Transkripte, die für Signaturen und HMACs verwendet werden, die neuen Felder OpaqueDataLength und OpaqueData nicht ab. Ein benachbarter Angreifer in einer aktiven Man-in-the-Middle-Position auf einer SPDM-Sitzung könnte die Opaque-Daten während der Übertragung verändern, ohne dass die Signatur- oder HMAC-Prüfung fehlschlägt. Vertraulichkeit und Verfügbarkeit sind nicht betroffen.
Betroffen
- DMTF libspdm 1.4.0
- FINISH- und FINISH_RSP-Transkripte (Signatur und HMAC) von SPDM-1.4-Implementierungen
Behoben in
- Behoben in libspdm 1.4.1 (DSP0274 Spezifikation 1.4.1).
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Lösung.
- SPDM-Datenverkehr auf vertrauenswürdige, kontrollierte Verbindungen beschränken, bis die betroffene Firmware aktualisiert ist.
Ausnutzung
- Keine bekannte Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden.
- Nicht im KEV-Katalog der CISA aufgeführt.
Unsere Empfehlung
- Prüfen Sie, ob Ihre Hardware-, BMC- oder Firmware-Produkte libspdm 1.4.0 verwenden.
- Fragen Sie die Hersteller, wann sie Builds auf Basis von libspdm 1.4.1 ausliefern, und spielen Sie diese ein.
- Beschränken Sie den SPDM-Datenverkehr bis zur Behebung auf vertrauenswürdige Verbindungen.
- Priorität: niedrig bis mittel, da eine aktive Man-in-the-Middle-Position auf der SPDM-Verbindung erforderlich ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- libspdm issue #3633 github.com
- DMTF-2026-0003 GitHub Security Advisory github.com
- CVE Record CVE-2026-61810 www.cve.org
- VulDB CVE-2026-61810 vuldb.com
- VulDB entry 435606 vuldb.com
- OpenCVE CVE-2026-61810 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.