其中一个漏洞CVE-2023-1017涉及越界写入，而另一个漏洞CVE-2023-1018被描述为越界读取。网络安全公司 Quarkslab 在 2022 年 11 月发现并报告了这些问题。
“这些漏洞可以通过向 TPM 2.0 发送恶意命令从用户模式应用程序触发，TPM 2.0 的固件基于受影响的 TCG 参考实现，”可信计算组 (TCG) 在一份公告中表示。
Quarkslab指出，大型技术供应商、使用企业计算机、服务器、物联网设备和包含 TPM 的嵌入式系统的组织可能会受到这些缺陷的影响，并补充说它们“可能会影响数十亿台设备” 。
TPM 是一种基于硬件的解决方案（即加密处理器），旨在提供安全的加密功能和物理安全机制以抵御篡改。
“最常见的 TPM 功能用于系统完整性测量以及密钥创建和使用，”微软在其文档中说。“在系统启动过程中，加载的启动代码（包括固件和操作系统组件）可以被测量并记录在 TPM 中。”
“完整性测量可用作系统启动方式的证据，并确保仅在使用正确的软件启动系统时才使用基于 TPM 的密钥。”
TCG 联盟指出，缺点是缺乏必要的长度检查，导致缓冲区溢出，可能为本地信息泄露或特权升级铺平道路。
建议用户应用TCG 以及其他供应商发布的更新来解决漏洞并降低供应链风险。
“高保证计算环境中的用户应考虑使用 TPM 远程证明来检测设备的任何更改并确保其 TPM 是防篡改的，”CERT 协调中心 (CERT/CC) 在警报中表示。
