特定のリソースに対する製品のハードウェア強制アクセス制御が、制御ポリシーと書き込みポリシーの間の特権の不一致を不適切に考慮している。
集積回路やハードウェア・エンジンは、信頼できるファームウェアやソフトウェア・モジュール（一般に BIOS やブートローダによって設定される）に属するリソース（デバイス・コンフィギュレーション、暗号化キーなど）へのアクセスを提供することがある。これらのアクセスは、通常、ハードウェアによって制御され、制限される。ハードウェア設計のアクセス制御は、ポリシーを使って実装されることもあります。ポリシーは、どのエンティティやエージェントがアクションを実行することを許可されるか、または許可されないかを定義します。システムが複数のレベルのポリシーを実装している場合、制御ポリシーはリソースへの直接アクセスを許可するだけでなく、ポリシー自体への変更を許可することもあります。
制御ポリシーにエージェントを含み、書き込みポリシーにエージェントを含まないリソースは、信頼されていないエージェントが書き込みポリシーレジスタに自身を挿入することを意図せずに許可する可能性があります。書き込みポリシー・レジスタに登録されることで、悪意のあるエージェントや不正なエージェントがリソースに書き込みアクセスできるようになる可能性がある。この行為は、情報の漏洩、暗号化キーの漏洩、デバイス・コンフィギュレーションの変更など、セキュリティの侵害につながる可能性がある。
The product's hardware-enforced access control for a particular resource improperly accounts for privilege discrepancies between control and write policies.
Integrated circuits and hardware engines may provide access to resources (device-configuration, encryption keys, etc.) belonging to trusted firmware or software modules (commonly set by a BIOS or a bootloader). These accesses are typically controlled and limited by the hardware. Hardware design access control is sometimes implemented using a policy. A policy defines which entity or agent may or may not be allowed to perform an action. When a system implements multiple levels of policies, a control policy may allow direct access to a resource as well as changes to the policies themselves.
Resources that include agents in their control policy but not in their write policy could unintentionally allow an untrusted agent to insert itself in the write policy register. Inclusion in the write policy register could allow a malicious or misbehaving agent write access to resources. This action could result in security compromises including leaked information, leaked encryption keys, or modification of device configuration.