ל- Surface Pro 3 יש תיקון נגד ניצול מעקף TPM

בעלי Surface Pro 3 כאן עשויים להיות מודעים לניצול הזמין לציבור שיכול לעקוף את TPM במכשיר. זה תוקן סופית.

CVE-2021-42299, ידוע גם כ TPM Carte Blanche, התגלה לראשונה על ידי חוקרי אבטחה של גוגל. עם זאת, יש לו שימוש מוגבל. תוקף צריך לדעת את האישורים של בעל המכשיר או שיש לו גישה פיזית למכשיר.

CVE-2021-42299 איפשר להרעיל את יומני ה-TPM וה-PCR כדי לקבל אישורים כוזבים. לאחר מכן, ניתן לסכן את תהליך אימות תקינות ההתקן.

להשוואה: אישור תקינות המכשיר הוא שירות הענן של מיקרוסופט שמאמת יומני TPM ו-PCR עבור נקודות קצה, בודק את מצב האבטחה המסוימת תכונות כולל BitLocker, אתחול מאובטח ועוד כמה, ולאחר מכן דווח על התוצאה לניהול מכשירים ניידים (MDM).

מכשיר פגיע יכול להתחזות למכשיר בריא על ידי הרחבת ערכים שרירותיים לבנקים של Platform Configuration Register (PCR).

המצב מאפשר לתוקף לחבר מקל USB הניתן לתצורה מיוחדת עם לינוקס ולאחר מכן להפריע לתהליך האתחול של המכשיר ולגשת לנתונים שלו. יש הוכחה לקונספט לנצל קוד.

מיקרוסופט מְאוּשָׁר ש- Surface Pro 3 פגיע. מכשירי Surface עדכניים יותר כגון Surface Pro 4, Surface Book אינם פגיעים.

לפי מחשב מצמרר, ענקית התוכנה רדמונד כבר פרסמה תיקון.