CVE-2020-8918 (CNNVD-202008-579)
中文标题:
Google Go-TPM 安全漏洞
英文标题:
TPM 1.2 key authorization values are vulnerable to a TPM transport eavesdropper
漏洞描述
中文描述:
Google Go-TPM是美国Google公司的一个 Go 开发包,能够在 Linux 平台上直接与 TPM 通信 。TPM 规范中指定的格式能够直接通过缓冲区进行通信 。 go-tpm 0.3.0之前版本中存在安全漏洞，该漏洞源于程序没有正确初始化‘migrationAuth’值。攻击者可利用该漏洞获取CreateWrapKey创建的密钥的auth值。
英文描述:
An improperly initialized 'migrationAuth' value in Google's go-tpm TPM1.2 library versions prior to 0.3.0 can lead an eavesdropping attacker to discover the auth value for a key created with CreateWrapKey. An attacker listening in on the channel can collect both 'encUsageAuth' and 'encMigrationAuth', and then can calculate 'usageAuth ^ encMigrationAuth' as the 'migrationAuth' can be guessed for all keys created with CreateWrapKey. TPM2.0 is not impacted by this. We recommend updating your library to 0.3.0 or later, or, if you cannot update, to call CreateWrapKey with a random 20-byte value for 'migrationAuth'.
CWE类型:
标签:
受影响产品
| 厂商 | 产品 | 版本 | 版本范围 | 平台 | CPE |
|---|---|---|---|---|---|
| Google LLC | google/go-tpm library | - | < 0.3.0 | - |
cpe:2.3:a:google_llc:google_go-tpm_library:*:*:*:*:*:*:*:*
|
| go-tpm | * | - | - |
cpe:2.3:a:google:go-tpm:*:*:*:*:*:*:*:*
|
解决方案
中文解决方案:
英文解决方案:
临时解决方案:
参考链接
cve.org
CVSS评分详情
3.1 (cna)
MEDIUMCVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
时间信息
利用信息
数据源详情
| 数据源 | 记录ID | 版本 | 提取时间 |
|---|---|---|---|
| CVE | cve_CVE-2020-8918 |
2025-11-11 15:20:43 | 2025-11-11 07:36:29 |
| NVD | nvd_CVE-2020-8918 |
2025-11-11 14:57:01 | 2025-11-11 07:44:52 |
| CNNVD | cnnvd_CNNVD-202008-579 |
2025-11-11 15:10:29 | 2025-11-11 07:56:25 |
版本与语言
安全公告
变更历史
查看详细变更
- vulnerability_type: 未提取 -> 其他
- cnnvd_id: 未提取 -> CNNVD-202008-579
- data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
查看详细变更
- affected_products_count: 1 -> 2
- data_sources: ['cve'] -> ['cve', 'nvd']