Cocos AI effectue l’attestation TLS à l’établissement de la connexion, puis ne détecte pas les changements ultérieurs de l’état du workload attesté. Un attaquant capable de modifier cet état pendant une connexion persistante peut amener le pair à continuer de faire confiance à un état devenu obsolète; mettez à niveau vers 0.9.0 ou utilisez une ré-attestation périodique comme mesure de contournement.
Analyse technique
L’attestation est vérifiée une seule fois, au début de la connexion. En cas de modification ultérieure du code, des données, de la configuration ou de l’état des périphériques du workload attesté, le pair ne reçoit pas d’indication que l’état évalué a changé; le risque est particulièrement marqué pour les connexions de longue durée.
Impact, versions et correctif
Action recommandée
Mettre à niveau Cocos AI vers la version 0.9.0 ou ultérieure; en attendant, mettre en œuvre une ré-attestation périodique ou déclenchée par l’utilisateur.
Sources
Priorisation DFS : P3 · 1 source(s).