Cocos AIの接続時の検証に脆弱性、接続後の状態変化を検知できず情報が漏れるおそれ
概要
Cocos AIで、認証済みTLS接続の確立時に一度だけ行う構成証明（アテステーション）のあとに、攻撃者が攻撃対象の状態を書き換えると、既存の接続を開いたまま古い証拠を信頼され続けるおそれがあります。長く続く接続ほど影響が大きく、CVSS v4.0は7.2です。0.9.0より前の版が対象で、0.9.0で修正されています。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Cocos AIで、認証済みTLS接続の確立時に一度だけ行う構成証明（アテステーション）のあとに、攻撃者が攻撃対象の状態を書き換えると、既存の接続を開いたまま古い証拠を信頼され続けるおそれがあります。長く続く接続ほど影響が大きく、CVSS v4.0は7.2です。0.9.0より前の版が対象で、0.9.0で修正されています。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Cocos AI is a confidential computing system for AI. Prior to 0.9.0, Cocos AI performs attestation only once when an attested TLS connection is established. An attacker who can modify the attester's workload code, memory-backed state, configuration, or attached devices after that check can keep the existing connection open while the peer continues trusting stale initial Evidence. This gap is especially significant for long-lived connections because the verifier has no mechanism to detect the changed state. This issue is fixed in version 0.9.0.
出典: CVE.org (CVE Program・cvelistV5) NVD