Une vulnérabilité a été identifiée dans la spécification de la bibliothèque (TPM) 2.0, qui peut être exploitée par un attaquant ayant accès à une commande TPM. L'attaquant peut envoyer des commandes spécialement conçues, ce qui peut entraîner un accès non autorisé à des données sensibles ou une déni de service du TPM. La technologie TPM fournit des fonctions cryptographiques sécurisées aux systèmes d'exploitation sur les plateformes informatiques modernes. Le groupe de travail sur la confiance dans l'informatique (TCG) maintient les spécifications TPM et fournit une implémentation de référence pour aider les vendeurs à adopter. Un chercheur en sécurité a découvert une vulnérabilité de lecture hors limite (OOB) dans la fonction CryptHmacSign de l'implémentation de référence. Le problème survient parce que le code de référence n'a pas mis en place des vérifications de cohérence appropriées, ce qui peut entraîner une lecture hors limite. Un attaquant peut exploiter cette incohérence en soumettant un paquet malveillant, ce qui entraîne une lecture hors limite de la mémoire TPM, ce qui peut exposer des données sensibles. Un attaquant local authentifié peut envoyer des commandes malveillantes à une interface TPM vulnérable, ce qui peut entraîner une divulgation d'informations ou une déni de TPM. Le TCG a publié une mise à jour d'errata pour la spécification de la bibliothèque TPM 2.0 et a mis à jour les implémentations de référence pour résoudre ce problème. Les utilisateurs sont fortement encouragés à appliquer les mises à jour liées au micrologiciel TPM fournies par leurs vendeurs de matériel ou de système.