Cocos AIの接続時の検証に脆弱性、接続後の状態変化を検知できず情報が漏れるおそれ
Summary
Cocos AIで、認証済みTLS接続の確立時に一度だけ行う構成証明（アテステーション）のあとに、攻撃者が攻撃対象の状態を書き換えると、既存の接続を開いたまま古い証拠を信頼され続けるおそれがあります。長く続く接続ほど影響が大きく、CVSS v4.0は7.2です。0.9.0より前の版が対象で、0.9.0で修正されています。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Cocos AIで、認証済みTLS接続の確立時に一度だけ行う構成証明（アテステーション）のあとに、攻撃者が攻撃対象の状態を書き換えると、既存の接続を開いたまま古い証拠を信頼され続けるおそれがあります。長く続く接続ほど影響が大きく、CVSS v4.0は7.2です。0.9.0より前の版が対象で、0.9.0で修正されています。
Original description The description as published by the source.
Cocos AI is a confidential computing system for AI. Prior to 0.9.0, Cocos AI performs attestation only once when an attested TLS connection is established. An attacker who can modify the attester's workload code, memory-backed state, configuration, or attached devices after that check can keep the existing connection open while the peer continues trusting stale initial Evidence. This gap is especially significant for long-lived connections because the verifier has no mechanism to detect the changed state. This issue is fixed in version 0.9.0.
Source: CVE.org (CVE Program・cvelistV5) NVD