bk99.de entertain the web since 1997

bk99.de
hß · SicherheitKuratiert

Der Security-Coprozessor in vielen CPUs ist unsicher

Zusammenfassung

Im August 2026 wurden zwei Lücken im Referenzcode der Trusted Computing Group für Firmware-TPMs (fTPM 2.0) bekannt, den AMD und Intel in ihre BIOS-Versionen übernehmen. CVE-2026-6727 ist ein Timing-Seitenkanal bei RSA-OAEP, CVE-2026-6726 erlaubt es, verworfene Schlüssel durch falsche zu ersetzen. Ausnutzen lassen sie sich nur mit lokalem, privilegiertem Zugriff, relevant sind sie vor allem für Firmengeräte.

Ideen

  • Firmware-TPMs laufen als Firmware auf einem abgeschotteten Kern der CPU.
  • Ein Fehler im gemeinsamen Referenzcode trifft viele Hersteller zugleich.
  • Unterschiedliche Antwortzeiten bei korrektem und falschem Padding verraten Geheimnisse.
  • Nicht korrekt invalidierte Schlüssel lassen sich durch gefälschte ersetzen.

Einsichten

  • Die Vertrauenskette ist nur so stark wie ihr erstes Glied.
  • Fehlende Zertifizierung bei fTPMs ließ Mängel länger unbemerkt als bei eigenständigen TPM-Chips.

Fakten

  • Die Lücken haben CVSS-Werte von 8,5 und 8,3.
  • Bei AMD sind laut Meldung alle Zen-Prozessoren von Ryzen 1000 bis Ryzen 9000 betroffen.
  • Zertifizierungen wie CC EAL 4+ gibt es nur für eigenständige TPM-Chips.
  • Bei Intel sind Client-Prozessoren bis zur Core-Ultra-200-Serie betroffen, bei Servern Xeon Scalable bis Ice Lake.
  • Neben BIOS-Updates gibt es Software-Patches, etwa für die Linux-Bibliothek libtpms.

Referenzen

Kritik

  • Die Meldung sagt nicht, wie viele Anfragen der Timing-Angriff benötigt und wie lange er dauert.

Empfehlungen

  • Spiele BIOS-Updates mit korrigierter fTPM-Firmware auf Firmengeräten zeitnah ein.
  • Nutze für besonders schutzbedürftige Systeme einen zertifizierten eigenständigen TPM-Chip.

Originalartikel lesen →

Im Webarchiv suchen

hß · 2012

hß Security Update-Check wegen Sicherheitslücke stillgelegt

heise Security legte im August 2012 seinen Online-Update-Check still, weil er Java voraussetzte und Java 7 gerade eine hochkritische, bereits ausgenutzte Lücke hatte. Die Lücke betraf alle Browser mit Java-7-Plugin; Module für das Exploit-Kit Blackhole waren schon im Umlauf, ein Patch von Oracle noch nicht angekündigt. Als Alternative empfahl heise den lokal installierten Personal Software Inspector.

hß · 2009

Sichere Softwareentwicklung nach dem "Security by Design"-Prinzip

heise Developer stellte 2009 das Prinzip „Security by Design“ vor, das Firmen wie Adobe, Google, Microsoft, Oracle/Sun und Symantec praktizierten. Sicherheit wird dabei als ausdrückliche Anforderung von Beginn an geplant, umgesetzt und getestet. Konsequent angewendet verschiebt es sogar die Auslieferung, bis Sicherheitsfehler oberhalb einer definierten Schwelle behoben sind.

hß · 2007

Kritische Lücke in Norton Antivirus und Internet Security

Symantec meldete 2007 kritische Lücken in Norton AntiVirus 2006, Norton Internet Security und SystemWorks, über die eine präparierte Webseite einen Windows-PC übernehmen konnte. Ursache waren zwei ActiveX-Controls in NAVCOMUI.DLL mit fehlerhafter Verarbeitung bestimmter Objekte. Die Updates liefen bereits über LiveUpdate, die Enterprise-Produkte waren nicht betroffen.