Atak ReVault

Badacze cyberbezpieczeństwa ujawnili szereg poważnych luk w zabezpieczeniach oprogramowania układowego Dell ControlVault3 i powiązanych interfejsów API systemu Windows. Wykorzystanie tych luk może pozwolić atakującym na ominięcie logowania w systemie Windows, kradzież kluczy kryptograficznych i utrzymanie długotrwałego dostępu nawet po ponownej instalacji systemu operacyjnego poprzez wszczepienie złośliwego, ukrytego kodu bezpośrednio do oprogramowania układowego.

Kto jest zagrożony?

Ponad 100 modeli laptopów Dell z układami Broadcom serii BCM5820X jest zagrożonych. Chociaż jak dotąd nie wykryto żadnego aktywnego wykorzystania luki, wpływ jest szczególnie niepokojący dla branż, które opierają się na silnym uwierzytelnianiu za pomocą czytników kart inteligentnych lub urządzeń komunikacji bliskiego zasięgu (NFC).

ControlVault został zaprojektowany do bezpiecznego przechowywania haseł, szablonów biometrycznych i kodów bezpieczeństwa w oprogramowaniu sprzętowym. Niestety, łączenie tych luk pozwala atakującym na eskalację uprawnień, ominięcie uwierzytelniania i pozostawanie w ukryciu nawet po wyczyszczeniu systemu lub aktualizacji.

Pięć luk w zabezpieczeniach ReVault

Badacze nadali tej grupie luk nazwę kodową ReVault. Razem tworzą one potężną metodę utrwalania po włamaniu, zdolną do ukrytego dostępu do ważnych celów.

• CVE-2025-25050 (CVSS 8.8) – Zapis poza zakresem w cv_upgrade_sensor_firmware
• CVE-2025-25215 (CVSS 8.8) – Dowolne zwolnienie w cv_close
• CVE-2025-24922 (CVSS 8.8) – Przepełnienie bufora stosu w securebio_identify
• CVE-2025-24311 (CVSS 8.4) – Odczyt poza zakresem w cv_send_blockdata
• CVE-2025-24919 (CVSS 8.1) – Deserializacja niezaufanych danych wejściowych w cvhDecapsulateCmd

Każde z nich może mieć poważne konsekwencje, począwszy od wykonania dowolnego kodu, aż po wyciek informacji.

Dostęp fizyczny: bezpośrednia droga na skróty dla atakujących

Nawet bez zdalnej eksploatacji, lokalny atakujący z dostępem fizycznym mógłby otworzyć laptopa i bezpośrednio zaatakować płytę Unified Security Hub (USH). Umożliwiłoby to wykorzystanie dowolnej z luk bez logowania się i znajomości hasła szyfrującego cały dysk.

To sprawia, że ReVault jest niebezpieczny nie tylko jako technika zdalnego utrzymywania danych, ale także jako metoda fizycznego złamania zabezpieczeń, pozwalająca ominąć logowanie do systemu Windows lub przyznać lokalnym użytkownikom uprawnienia administratora.

Zmniejszanie ryzyka

Eksperci ds. bezpieczeństwa zalecają użytkownikom bezzwłoczne stosowanie oficjalnych poprawek firmy Dell, wyłączanie usług ControlVault, gdy czytniki biometryczne, czytniki kart inteligentnych lub czytniki NFC nie są używane, a w środowiskach wysokiego ryzyka całkowite wyłączenie logowania odciskiem palca w celu ograniczenia potencjalnego narażenia. Środki te pomagają wyeliminować znane luki w zabezpieczeniach, które atakujący mogą wykorzystać do uzyskania nieautoryzowanego dostępu lub utrzymania się na zainfekowanych urządzeniach. Ograniczając użycie potencjalnie podatnego na ataki sprzętu uwierzytelniającego, organizacje mogą znacznie zmniejszyć swoją powierzchnię ataku. Regularne audyty bezpieczeństwa i czujny monitoring powinny również stanowić element szerszej strategii obronnej, aby zapewnić ciągłą ochronę przed nowymi zagrożeniami.