CVE-2026-119344
Cocos Intra-handshake attested TLS implementation is vulnerable to Diversion Attacks
CVSS 3.1Medium
9.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Уязвимость устранена в версии 0.9.0. Из-за специфики модели угроз конфиденциальных вычислений исправление требует мер за рамками изменения исходного кода.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В Cocos AI обнаружена уязвимость перенаправления аттестации (Diversion Attacks), позволяющая удалённому злоумышленнику авторизовать постороннюю платформу доверенной среды исполнения.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
До версии 0.8.2 включительно система принимает свидетельства аттестации TEE при совпадении версий микрокода и измерений ПО без проверки уникального идентификатора машины, владельца платформы или статуса отзыва. Атакующий, контролирующий другую доверенную проверяющим платформу, может подменить валидные данные аттестации.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неправомерная авторизация недоверенной платформы вместо легитимной в защищённой среде вычислений.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/ultravioletrs/cocos/security/advisories/GHSA-v5m8-5wxc-vjgp
- dl.acm.orghttps://dl.acm.org/doi/10.1145/3779208.3785387
- doi.orghttps://doi.org/10.1145/3779208.3785387
- github.comhttps://github.com/ultravioletrs/cocos/releases/tag/v0.9.0
- www.intel.comhttps://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/technical-documentation/platform-ownership-endorsements.html
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-119344: Cocos Intra-handshake attested TLS implementation is vulnerable to Diversion Attacks. URL: https://cve.futuretools.ru/cve/CVE-2026-119344
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_119344,
title = {{CVE-2026-119344: Cocos Intra-handshake attested TLS implementation is vulnerable to Diversion Attacks}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119344}},
note = {Оперативный инженерный анализ киберугроз}
}