Source : Talos Intelligence (blog de Cisco Talos). Des chercheurs présentent une chaîne d’attaque touchant Dell ControlVault3, une solution de sécurité matérielle largement déployée sur des laptops Dell, menant à l’exécution de code arbitraire, à l’altération de l’authentification biométrique et à une compromission jusqu’au niveau SYSTEM sur Windows.

• Découvertes clés : le déchiffrement du firmware via des clés AES codées en dur, la possibilité d’implants persistants survivant aux réinstallations du système, et le contournement de l’authentification par empreinte Windows Hello. Les organisations utilisant des ordinateurs Dell avec ControlVault3 sont invitées à mettre en place des capacités de détection et une surveillance renforcée. 🔐⚠️

• Détails techniques (CVE) :

  • CVE-2025-25215 — corruption de tas (heap corruption)
  • CVE-2025-24922 — dépassement de pile (stack overflow) dans les fonctions biométriques
  • CVE-2025-24311 — lecture/écriture hors limites (out-of-bounds)
  • CVE-2025-25050 — lecture/écriture hors limites (out-of-bounds)
  • CVE-2025-24919 — désérialisation non sécurisée

• Chaîne d’attaque démontrée :

  • Déchiffrement du firmware à l’aide de clés AES codées en dur.
  • Exploitation d’une corruption de tas pour forger de fausses sessions.
  • Déclenchement d’un dépassement de pile conduisant à l’exécution de code.
  • Compromission de services Windows s’exécutant avec des privilèges SYSTEM.
  • Scénarios de compromission firmware→hôte et implantation persistante.

• Impacts et portée : produits Dell équipés de ControlVault3. Risques majeurs : bypass biométrique (dont Windows Hello par empreinte), élévation de privilèges jusqu’à SYSTEM, et persistance malgré une réinstallation du système.

• IOCs et TTPs :

  • IOCs : non fournis dans l’extrait.
  • TTPs : décryptage de firmware (clés hardcodées), heap corruption pour sessions forgées, stack overflow pour RCE, compromission de services SYSTEM, persistance firmware, bypass de l’authentification biométrique.

Conclusion : il s’agit d’une publication de recherche visant à documenter des vulnérabilités critiques de ControlVault3 et une chaîne d’exploitation illustrant le passage du firmware à l’hôte et les impacts possibles.

🔗 Source originale : https://blog.talosintelligence.com/revault-when-your-soc-turns-against-you-2/