发现并协助修复数十处机密计算框架漏洞,百度安全获谷歌、微软致谢

2020-12-07 17:11:088911人阅读

近期,微软与谷歌公司相继对其主导的机密计算开源项目Microsoft Open Enclave SDK (https://openenclave.io/sdk/) 和Google Asylo (https://asylo.dev/) 发布了版本更新。更新中修复了数十处百度安全研究人员上报的漏洞,同时对百度安全公开发表致谢。



机密计算技术是 Gartner 云安全成熟度曲线上的 33 种技术之一,通过硬件加密保护敏感代码和数据,结合远程认证技术解决区块链、秘钥管理、金融、AI、多方计算、数据租赁、边缘计算等诸多应用场景中“信任”难题,各大科技巨头均在机密计算方向进行投入并推出了相应的产品。


  • 微软于 2017 年 10 月发布其机密计算开源项目 — Open Enclave SDK,旨在为 Enclave 应用程序(Intel SGX 和 TrustZone)的开发者提供统一的 TEE 抽象接口,屏蔽不同 TEE 硬件平台的接口差异。2020 年 9 月,Azure 云正式发布基于 Intel SGX 的 DCsv2 虚拟机产品,为正在 Azure 云中使用的数据和代码提供保护。


  • 谷歌于 2018 年 4 月发布其机密计算开源项目 — Asylo,为 Enclave 应用程序统一提供开放灵活的开发框架。2020 年 7 月,谷歌云发布基于 AMD SEV 的机密计算虚拟机,保护客户在云端的敏感数据,确保数据处理过程中的安全性。


WX20201207-170741.png


百度安全研究人员已上报共计 21 个漏洞,均得到产品厂商认可。目前已修复的由百度安全提交的安全漏洞 CVE 编号有 CVE-2020-8904、CVE-2020-8905、CVE-2020-15244、CVE-2020-16966 (更多漏洞编号还在分配中),包含 Microsoft Open Enclave SDK 和 Google Asylo 机密计算框架中的多处安全风险。其中,


  • CVE-2020-8904 是存在于 Google Asylo 框架中的任意写 Enclave 内存漏洞, 可以被攻击者远程用于篡改 Enclave 应用密钥等敏感信息;

  • CVE-2020-8905 是存在于 Google Asylo 框架中的堆栈越界读漏洞,可以泄漏任意长度 Enclave 应用中的敏感信息;

  • CVE-2020-15244 是存在于 Microsoft Open Enclave SDK 框架中的堆栈越界读漏洞,可以泄漏任意长度 Enclave 应用中的敏感信息;

  • CVE-2020-16966 是存在于 Microsoft Open Enclave SDK 框架中的任意代码执行漏洞,可以绕过 Enclave ECall Gateway,直接跳转至 Enclave 应用中任意代码地址,进而泄漏、修改应用中的任意数据

WX20201207-170757.png


微软 Open Enclave SDK 项目发布的 CVE-2020-15224 漏洞公告

百度安全针对 Google Asylo 框架的系列漏洞发现,获得了谷歌漏洞赏金计划(Google's Vulnerability Reward Program)的认可,微软应急响应中心将 CVE-2020-16966 作为月度严重漏洞(critical vulnerability),在10月周二的安全更新进行了紧急修复。

WX20201207-170805.png



凭借丰富的安全实战经验,百度安全构建 MesaTEE 安全计算平台,该平台提供了强安全、高性能、易扩展的芯片级数据安全计算解决方案。协助机构之间解决数据合作过程中数据安全和隐私问题,打破数据孤岛。 通过私有化或云服务帮助金融、政务、互联网等行业在联合建模、联合营销、联合风控等场景下一站式完成数据联合计算,实现 “数据可用不可见”的安全体验。


0
现金券
0
兑换券
立即领取
领取成功