CVE-2026-33697

Zusammenfassung

Cocos AI ist ein vertrauliches Computing-System für KI. Die aktuelle Implementierung von attested TLS (aTLS) in CoCoS ist anfällig für einen Relay-Angriff, der alle Versionen von v0.4.0 bis v0.8.2 betrifft. Diese Schwachstelle ist sowohl in den von CoCoS unterstützten Bereitstellungszielen AMD SEV-SNP als auch Intel TDX vorhanden. Im betroffenen Design könnte ein Angreifer in der Lage sein, den ephemeren TLS-Privatschlüssel zu extrahieren, der während der Attestierung innerhalb des Handshakes verwendet wird. Da die Attestierungsnachweise an den ephemeren Schlüssel gebunden sind, aber nicht an den TLS-Kanal, reicht der Besitz dieses Schlüssels aus, um die attestierte TLS-Sitzung weiterzuleiten oder umzuleiten. Ein Client akzeptiert die Verbindung unter falschen Annahmen über den Endpunkt, mit dem er kommuniziert – der Attestierungsbericht kann den echten attestierten Dienst nicht vom Relay des Angreifers unterscheiden. Dies untergräbt die beabsichtigten Authentifizierungsgarantien von attested TLS. Ein erfolgreicher Angriff kann es einem Angreifer ermöglichen, einen attestierten CoCoS-Dienst zu imitieren und auf Daten oder Operationen zuzugreifen, die der Client nur an den echten attestierten Endpunkt senden wollte. Für die Ausnutzung muss der Angreifer zunächst den ephemeren TLS-Privatschlüssel extrahieren, was durch physischen Zugriff auf die Serverhardware, transiente Ausführungsangriffe oder Seitenkanalangriffe möglich ist. Beachten Sie, dass die aTLS-Implementierung in v0.7.0 vollständig neu gestaltet wurde, die Neugestaltung jedoch diese Schwachstelle nicht behebt. Die Schwäche des Relay-Angriffs ist architektonisch und betrifft alle Releases im Bereich v0.4.0–v0.8.2. Diese Schwachstellenklasse wurde von Forschern, deren Ergebnisse der IETF TLS Working Group offengelegt wurden, formal analysiert und über mehrere attestierte TLS-Implementierungen hinweg, einschließlich CoCoS, demonstriert. Die formale Verifikation wurde mit ProVerif durchgeführt. Zum Zeitpunkt der Veröffentlichung ist kein Patch verfügbar. Es ist keine vollständige Problemumgehung verfügbar. Die folgenden Härtungsmaßnahmen reduzieren das Risiko, beseitigen es jedoch nicht: Halten Sie TEE-Firmware und Mikrocode auf dem neuesten Stand, um die Angriffsfläche für die Schlüsselextraktion zu verringern; definieren Sie strenge Attestierungsrichtlinien, die alle verfügbaren Berichtsfelder validieren, einschließlich Firmware-Versionen, TCB-Stufen und Plattformkonfigurationsregistern; und/oder aktivieren Sie gegenseitiges aTLS mit CA-signierten Zertifikaten, wo die Bereitstellungsarchitektur dies zulässt.