CVE-2026-108362: Privasys Remote Attestation TLS Clients: TLS attestado aceita evidência de plataforma TEE não autorizada (CWE-346)

Visão geral

O Privasys Ra-tls-clients é um conjunto de utilitários em múltiplas linguagens para verificar conexões TLS atestadas com base em evidências de Trusted Execution Environment (TEE). A CVE-2026-108362 é classificada como CWE-346 (Erro de Validação de Origem). O registro indica que o verificador não impõe uma identidade de plataforma explicitamente autorizada ao aceitar evidências de atestação TEE.

Impacto

O registro descreve um cenário de desvio: medições de outra plataforma TEE não revogada podem ser aceitas como se tivessem vindo do Attester pretendido.
Segundo a descrição, um atacante posicionado na rede pode se passar pelo endpoint TLS atestado, desde que consiga forjar evidências ou extrair segredos de atestação de uma plataforma comprometida e não revogada.
A pontuação base CVSS 4.0 registrada é 9.1 (crítica), com vetor CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X. O registro SSVC indica automatizável como não e impacto técnico como total.

Produtos e versões afetados

Privasys Ra-tls-clients, versões anteriores à 0.11.0 (o registro mostra version < 0.11.0).
A lista de correções do registro está vazia; a versão 0.11.0 como correção é citada na descrição e na página de release referenciada.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, portanto a exploração ativa não é confirmada por essa fonte. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS registrada é 0.00159 (percentil 0.04475), com data de 2026-10-13.

Correção e mitigação

Atualize o Privasys Ra-tls-clients para a versão 0.11.0 ou posterior, conforme indicado nas referências do fornecedor.
Consulte o aviso de segurança do fornecedor e as notas de release para detalhes da atualização.
Até a atualização, operadores devem revisar quais verificadores de atestação e identidades de plataforma são confiáveis, limitando a confiança a plataformas TEE explicitamente conhecidas e com status de revogação verificado, como medida defensiva.

Orientação de detecção

Inventarie implantações que usam o Privasys Ra-tls-clients e registre a versão instalada.
Revise os logs dos verificadores em busca de aceitações de atestação de identidades de plataforma que não foram configuradas explicitamente pelo operador.
Monitore mudanças inesperadas nos endpoints ou plataformas que apresentam certificados TLS atestados.

Limitações das informações disponíveis

O registro não informa os bindings de linguagem ou componentes afetados além do nome do produto.
O registro não inclui detalhes da técnica exata de forjamento ou extração de segredos, e esta análise não os fornece.
O campo de nome do CWE está vazio no registro; a classificação CWE-346 é obtida a partir do identificador.
Não há detalhes de commit de correção além do commit referenciado.

Perguntas frequentes

Qual é o problema central da CVE-2026-108362?

Segundo o registro, o verificador aceita evidências de atestação TEE sem exigir uma identidade de plataforma explicitamente autorizada, o que pode permitir que medições de outra plataforma TEE não revogada sejam aceitas como se fossem do Attester pretendido.

Qual versão corrige o problema?

A descrição e a página de release referenciada indicam que a versão 0.11.0 contém a correção. A lista de correções do registro está vazia, então a página de release é a principal fonte.

Há exploração ativa conhecida desta CVE?

Não. O catálogo KEV da CISA não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.