在1.8.2之前的Trezor One设备上，发现了基于行的OLED显示器的侧通道

CVE编号

CVE-2019-14353

利用情况

暂无

补丁情况

N/A

披露时间

2019-08-09

漏洞描述

在1.8.2之前的Trezor One设备上，找到了基于行的OLED显示器的侧通道。每个基于行的显示周期的功耗取决于照明像素的数量，允许部分恢复显示内容。例如，USB电缆中的硬件植入可能能够利用此行为来恢复机密密码，例如PIN和BIP39助记符。换句话说，只有当攻击者对设备的USB连接有足够的控制权以在显示秘密数据时进行功耗测量时，侧通道才是相关的。侧通道在其他情况下不相关，例如当前未显示秘密数据的被盗设备。注意：此CVE仅适用于Trezor One，并未涉及其他设备上OLED显示器的任何问题。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://blog.trezor.io/details-of-the-oled-vulnerability-and-its-mitigation-d331c4e2001a

参考链接
https://blog.trezor.io/details-of-the-oled-vulnerability-and-its-mitigation-d...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	trezor	one_firmware	*		Up to (excluding) 1.8.2
	运行在以下环境
	硬件	trezor	one	-	-

CVSS3评分 4.2

• 攻击路径 物理
• 攻击复杂度 高
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.0/AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N CWE-ID 漏洞类型 CWE-200 信息暴露