Pour gérer vos consentements :
Categories: Sécurité

Des Surface Pro sujettes à une faille TPM

Vous possédez une Surface Pro 3 ? Elle est peut-être exposée à la faille CVE-2021-42299. Microsoft vient d’émettre une alerte à son sujet. Dans le même temps, le chercheur qui a découvert la vulnérabilité a publié un PoC, sous le nom « TPM Carte Blanche ».

Le TPM (module de plate-forme sécurisée) est effectivement impliqué dans cette histoire. Le risque : la manipulation de certaines des données qu’il génère. En l’occurrence, des mesures auxquelles fait notamment appel le service Windows d’attestation d’intégrité.

Ces mesures, réalisées au démarrage, sont stockées au sein du TPM, dans des emplacements mémoire appelés PCR (registres de configuration de plate-forme). Lesquels se structurent en banques, chacune associée à un algorithme de hachage.

Pour stocker une nouvelle valeur dans un PCR, la valeur existante est étendue, par concaténation : PCR[N] = HASHalg( PCR[N] || ArgumentOfExtend ).

Il existe plusieurs restrictions – notamment une obligation de réinitialisation du TPM – destinées à s’assurer que seule cette opération permette une telle modification. La documentation relative aux PCR fournit des explications. En particulier concernant la jonction avec les journaux d’événements :

Certains PCR sont utilisés comme sommes de contrôle des événements de journal. Ces derniers sont étendus dans le TPM à mesure que les événements se produisent. Par la suite, un auditeur peut valider les journaux en calculant les valeurs PCR attendues à partir du journal et en les comparant aux valeurs PCR du TPM. Dans la mesure où les 16 premiers PCR du TPM ne peuvent pas être modifiés arbitrairement, une correspondance entre une valeur PCR attendue dans cette plage et la valeur PCR du TPM réel garantit un journal non modifié.

Surface Pro, mais pas que ?

Alors que se passe-t-il sur les Surface Pro 3 ? Le problème se pose jusqu’au BIOS 3.1.2550 (diffusé en septembre 2018). Lorsque sont activées à la fois les banques PCR SHA1 et SHA256, cette dernière n’est pas étendue. La porte ouverte à l’injection de mesures arbitraires. Aussi longtemps qu’on a soit un accès physique à la machine ciblée, soit des identifiants utilisateur.

Le PoC implique un démarrage sur Ubuntu 20.04.

Il n’est pas exclu que la faille soit présente sur d’autres appareils utilisant un BIOS similaire, avertit Microsoft. Mais pas sur Surface Pro 4 et Surface Book. No les devices plus récent de cette gamme, affirme le groupe américain.

Illustration principale © Skórzewiak – Adobe Stock

Recent Posts

Classement Forbes : 20 milliardaires de la Tech

De Jeff Bezos (Amazon) à David Duffield (Workday), voici la liste Forbes des 20 personnalités…

4 heures ago

Dix pistes d’action pour sécuriser l’open source

Comment améliorer la sécurité de l'open source ? Éléments de réponse avec le plan d'action…

5 heures ago

Twitter : Elon Musk joue les équilibristes

Après avoir annoncé la suspension de l'accord pour le rachat de Twitter, Elon Musk s'est…

3 jours ago

Cybersécurité : CyberArk crée un fonds doté de 30 millions $

Financer une nouvelle génération de start-up des technologies de cybersécurité, c'est l'objectif affiché par CyberArk…

3 jours ago

Silicon Day Workplace : quelle Digital Workplace à l’heure du travail hybride ?

Silicon.fr vous invite à Silicon Day Workplace, une journée dédiée aux enjeux de la Digital…

3 jours ago

La Google I/O 2022 en huit points

Chiffrement, recherche, déréférencement, objets connectés, assistant vocal, bureautique... Bilan de la Google I/O 2022 en…

3 jours ago