据the hacker news微软发布了消息Surface Pro 3笔记本电脑安全绕过漏洞的警告，攻击者可以利用漏洞破坏设备认证机制，将恶意设备引入企业网络。
这个漏洞为CVE-2021-42299(CVSS 评分：5.6)，由谷歌软件工程师Chris Fennerf发现并取代号为“ TPM Carte Blanche ”。
微软在公告中指出，设备使用平台配置寄存器 ( PCR ) 来记录有关设备和软件配置的信息，以确保启动过程安全，Windows通过PCR确定设备的健康状况。有漏洞的设备可以将任何值扩展到PCR库伪装成健康设备。
在Windows 10系统中引入的健康设备证明(DHA)是保证计算机安全的企业安全功能BIOS、可信平台模块(TPM)以及启动软件配置，如优先启动反病毒驱动程序(ELAM)、安全启动等。DHA通过审查和验证设备的TPM和PCR启动日志证明了计算机启动是否健康。但通过武器化漏洞，攻击者可以破坏 TPM 和 PCR 日志获得虚假证明，有效破坏设备健康证明验证过程。
值得注意的是，利用这一漏洞进行攻击需要对目标设备进行物理访问，或者提前破坏了目标设备的证。Chris Fennerf这意味着攻击者可以通过一个Linux 启动U 盘，尽量减少与目标设备系统的交互。
Surface Pro 3是微软于2014年6月发布的产品，并已于2016年11月停产，截至报道时，较新的Surface Pro 4 和 Surface Book其他 ，包括 Surface 设备尚未受到影响。目前，微软已试图向所有受影响的供应商通知漏洞。