JVNDB-2025-026059

Evervaultにおけるデジタル署名の検証に関する脆弱性

Evervaultは決済セキュリティソリューションです。バージョン1.3.2以前の`evervault-go` SDKの認証検証ロジックに脆弱性が確認されており、不完全なドキュメントが検証を通過してしまう可能性があります。これにより、クライアントが期待される整合性保証を満たさないエンクレーブオペレーターを信頼してしまう恐れがあります。この問題の悪用可能性は、Evervaultがホストする環境では限定的であり、攻撃者は特定のevervaultドメイン名からのリクエストを提供するという事前条件を満たす必要があります。これはACMEチャレンジに基づくTLS証明書取得パイプラインに依存しています。この脆弱性は主にPCR8のみをチェックするアプリケーションに影響します。すべてのPCR値をチェックするアプリケーションでは効果が低減されますが、PCR 0、1、2をチェックすることで影響が大幅に軽減されます。特定された問題はバージョン1.3.2で、キャッシュに保存する前に認証ドキュメントを検証し、単純な等価性チェックを新しいSatisfiedByチェックに置き換えることで対処しています。Evervault環境外でホストされているエンクレーブを認証するためにevervault-goを使用しておりアップグレードができない場合、以下の2つの回避策があります。PCR8が明示的に存在し非空でない場合、検証を失敗させるようにアプリケーションロジックを修正すること、または必要なPCRを省略するドキュメントを拒否するカスタム事前検証を追加することです。

Evervault

• Evervault 1.3.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Incomplete PCR Validation in Enclave Attestation for non-Evervault hosted Enclaves  Advisory  evervault/evervault-go  GitHub

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2025-64186

1. National Vulnerability Database (NVD) : CVE-2025-64186
2. 関連文書 : Improve correctness of PCR check in enclaves Go SDK by lfarrel6  Pull Request #48  evervault/evervault-go  GitHub
3. 関連文書 : Improve correctness of PCR check in enclaves Go SDK (#48)  evervault/evervault-go@7c824d2  GitHub

• [2026年02月17日]
    掲載