// LINUX-MAGAZIN — LINUX & OPEN SOURCE
Zwei Fehler hebeln TPM-Schutz aus
Eine weitverbreitete TPM-2.0-Implementierung hat Schwachstellen. Angreifer könnten Secure Boot aushebeln und Man-in-the-middle-Angriffe ausführen.
Die Trusted Computing Group (TCG) definiert nicht nur den Standard für Trusted Platform Modules (TPM). Sie stellt auch herstellerunabhängigen Code für zentrale Funktionalitäten bereit. Diesen verwenden AMD und Intel in vielen ihrer Prozessoren, zwei Intel-Entwickler haben darin jetzt allerdings zwei schwerwiegende Schwachstellen gefunden.
Die mit einem CVSS-Score von 8,5 schwerwiegendere Schwachstelle ist als CVE-2026-6726 veröffentlicht: Sie ermöglicht Angreifern, eigene Schlüssel vom TPM zertifizieren zu lassen. Dieser könne, so die Fehlerbeschreibung der TCG, anschließend genutzt werden, um auf der Chain of Trust des TPM aufbauende Funktionen wie Device Onboarding (Integration in Unternehmensnetze), Secure Boot oder Remote Attestation auszuhebeln.
Damit ließe sich etwa ein manipuliertes Betriebssystemabbild unterschieben oder die Integritätsprüfung in Unternehmensnetzen austricksen. Die größte Gefahr dieser Schwachstelle ist somit, dass Unternehmen manipulierte Geräte untergeschoben werden können. Grund für die Lücke ist, wie die TCG schreibt, ein Use-After-Free-Fehler. Dieser ermöglicht, eine neu erzeugte Hash-Sequenz als ein zuvor geladenes, gültiges externes Element auszugeben.
Bei der zweiten Schwachstelle, CVE-2026-6727, handelt es sich um einen Seitenkanalangriff auf die RSA-Verschlüsselung. Sie wird mit einem CVSS-Score von 8,3 bewertet.
Das freie Dateisynchronisationsprogramm Rsync ist in Version 3.5.0 erschienen. Die neue Ausgabe behebt unter anderem 33 Sicherheitsprobleme.
Das Programm für die 24. Kieler Open Source und Linux Tage steht. Die Veranstaltung findet am 18. und 19. September 2026 statt. Bereits am 17. September beginnt der Linux Presentation Day mit Vorträgen zum Umstieg von Windows auf Linux.
Der zunehmende Einsatz von KI-Agenten könne dazu führen, dass das Volumen der Interaktion zwischen den Agenten das zwischen Menschen und zwischen Menschen und Agenten übersteigt, bevor man verstanden habe, unter welchen Bedingungen diese Interaktionen reibungslos funktionierten - schreibt...
QEMU 11.1.0 ist erschienen. Die neue Version der freien Virtualisierungssoftware umfasst mehr als 3200 Commits von 285 Autoren und erweitert die Emulation verschiedener Speicherstandards, Prozessorarchitekturen und Plattformen.
Anthropic wird alle Texte von nach dem 2. August dieses Jahres erschienenen Claude-Modellen (API, Claude, Claude Code, Claude Cowork, und Claude Tag) mit einem unsichtbaren Wasserzeichen kennzeichnen. Damit kommt man der Kennzeichnungspflicht gemäß EU AI Act Artikel 50(2) nach. Auch für ältere...