Über die Komponente Trusted Platform Module, das bei modernen Prozessoren auf einem abgeschotteten Mikrocontroller-Kern als Firmware läuft (fTPM 2.0), sind viele Systeme mit Prozessoren von AMD und Intel verwundbar. Die Trusted Computing Group liefert fTPM-2.0-Referenzcode, den unter anderem AMD und Intel in ihre BIOS-Versionen integrieren.

Die Trusted Computing Group selbst hat gemeldet, dass der frühere Referenzcode schwerwiegende Mängel aufwies. Die Sicherheitslücken CVE-2026-6726 und CVE-2026-6727 befinden sich darin. Beide wurden mit einem CVSS (Common Vulnerability Scoring System) von 8,5 und 8,3 bewertet (hoher Schweregrad). Da fTPM-Implementierungen nicht zertifiziert sind, blieben die Lücken unbemerkt.

Die Sicherheitslücken ermöglichen tiefgehende Änderungen am System, da ein Trusted Platform Module am Beginn der Vertrauenskette (Root of Trust) von Servern, Desktop-PCs und Notebooks steht. TPM wird von Windows für die Bitlocker-Verschlüsselung genutzt.

An Hersteller von Desktop-PCs, Notebooks und Mainboards haben AMD und Intel bereits neue Firmware-Versionen verteilt. Über die nächsten Wochen und Monate werden dann entsprechende BIOS-Updates angeboten. Hinzu kommen Software-Patches etwa für die Linux-Bibliothek libtpms und zahlreiche Windows-Versionen.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE