目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1000 元

100.0%
请我们喝杯咖啡

CWE-1291 类漏洞列表 1

CWE-1291 类弱点 1 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-1291 指调试与生产代码共用同一公钥签名，属于密钥管理不当漏洞。攻击者可利用此缺陷，通过逆向调试签名机制或伪造调试固件，绕过生产环境的安全校验，从而植入恶意代码或获取未授权访问。开发者应避免密钥复用，为调试和生产环境分别生成独立的密钥对，并严格隔离签名流程，确保生产固件仅使用专用密钥验证，以保障系统完整性与真实性。

MITRE CWE 官方描述
CWE：CWE-1291 公钥在签名调试代码和生产代码时的重用 英文：相同的公钥被用于对调试代码和生产代码进行签名。 公钥密码学（public-key cryptography）的常见用途是验证其他实体（例如固件二进制文件）的完整性和真实性。如果一家公司希望确保其固件仅在其自有硬件上运行，那么在固件运行之前，固件镜像的加密哈希值将使用公钥进行解密，然后与当前计算的固件镜像哈希值进行验证。这意味着公钥构成了信任根（root of trust），这就要求公钥本身必须受到保护并被正确使用。在开发阶段，调试固件启用了许多硬件调试钩子、调试模式和调试消息以进行测试。这些调试功能提供了关于固件能力的显著额外视图，并且在某些情况下，还提供了对芯片或片上系统（SoC）的额外能力。如果这些能力被攻破，攻击者可能会利用它们完全控制系统。一旦产品退出制造阶段并进入生产阶段，使用不同的公钥是良好的实践。已知调试固件镜像会发生泄露。由于调试密钥被重用作生产密钥，调试镜像也将能够在生产镜像上运行。因此，这会将所有内部调试能力暴露给攻击者。如果对生产镜像使用不同的公钥，即使攻击者获取了调试固件镜像，他们也无法在生产机器上运行它。因此，损害将仅限于由调试镜像导致的知识产权泄露。
常见影响 (1)
Confidentiality, Integrity, Availability, Access Control, Accountability, Authentication, Authorization, Non-Repudiation, OtherRead Memory, Modify Memory, Execute Unauthorized Code or Commands, Gain Privileges or Assume Identity, Varies by Context
缓解措施 (1)
ImplementationUse different keys for Production and Debug.
代码示例 (1)
This example illustrates the danger of using the same public key for debug and production.
Suppose the product design requires frugality of silicon real estate. Assume that originally the architecture allows just enough storage for two 2048-bit RSA keys in the fuse: one to be used for debug and the other for production. However, in the meantime, a business decision is taken to make the security future-proof beyond 2030, which means the architecture needs to use the NIST-recommended 3072-bit keys instead of the originally-planned 2048-bit keys. This means that, at most, one key can be fully stored in the fuses, not two. So the product design team decides to use the same public key fo
Bad · Other
Increase the storage so that two different keys of the required size can be stored.
Informative · Other
CVE ID标题CVSS风险等级Published
CVE-2022-1665 IBM Power System 安全漏洞 — Red Hat Enterprise Linux 8.2 -2022-06-21

CWE-1291 是常见的弱点类别，本平台收录该类弱点关联的 1 条 CVE 漏洞。