Black Hat USA 2025 | ReVault! Compromised by Your Secure SoC
三句話摘要
Cisco Talos 研究員揭露 Dell Control Vault 3 安全晶片的完整攻擊鏈，可永久植入惡意韌體、繞過 Windows Hello 指紋登入並取得 SYSTEM 權限。 安全晶片不等於安全——韌體缺乏 ASLR、堆疊保護與開機驗章，攻擊者可從本地用戶一路升權至永久植入惡意韌體並取得 Windows SYSTEM 權限，且重裝系統也無法消除。 加密韌體可被解密分析：Citadel 應用韌體雖加密存放，但透過逆向明文的 SBI（Secure Boot Image）找到三步驟更新流程（upgrade_start／update／upgrade_complete），重現解密邏輯後即可還原明文韌體，使漏洞挖掘成為可能。
重點整理
重點- 1
加密韌體可被解密分析：Citadel 應用韌體雖加密存放，但透過逆向明文的 SBI（Secure Boot Image）找到三步驟更新流程（upgrade_start／update／upgrade_complete），重現解密邏輯後即可還原明文韌體，使漏洞挖掘成為可能。
- 2
鏈式漏洞達成任意 heap free 與堆疊溢位：CV close 僅驗證 session handle 是否在 heap 範圍內及含有 session tag，攻擊者利用 CV create object 植入偽造 session、以 CV get random 作為 oracle 掃描定位，再觸發任意 free；接著透過 heap 重疊覆寫物件 metadata，餵給 secure_bio_identify 觸發 memcpy 堆疊溢位，取得韌體代碼執行能力。
- 3
竊取 OTP 金鑰後安全啟動機制完全失效：韌體存在 SOTP_with_key 函式可讀取熔絲內 AES／HMAC 金鑰；更關鍵的是應用韌體在開機時不再驗證簽章（僅更新時驗證），攻擊者可偽造含自製 RSA 公鑰的 SCD 並透過任何人皆可呼叫的 CV flash update 安裝自訂韌體，形成永久駐留。
- 4
惡意韌體可反向攻擊 Windows 高權限服務：韌體回應封包若偽造大小與封裝類型，主機端 WinBio 服務（無 ASLR、無堆疊 cookie）會發生緩衝區溢位，研究員藉此在 SvcHost 進程下彈出 NT AUTHORITY\SYSTEM shell。
實用技巧與重點
乾貨- 受影響設備：100+ 款 Dell 商用筆電（Latitude、Precision），涵蓋 Control Vault 1/2/3/3+，估計數千萬台
- 晶片型號：Broadcom BCM58202（Control Vault 3 SoC），首代 Control Vault 約為 2010 年，CV3 約為 2019 年
- 韌體架構：Boot ROM → SBI（明文）→ SCD（Secure Code Descriptor）→ Citadel 應用韌體（加密）
- 韌體更新三步驟：upgrade_start（傳送加密 header 供晶片解密）→ update（逐塊傳輸並以自訂 IV 解密）→ upgrade_complete（驗簽後寫入 flash）
- 缺乏的安全機制：韌體完全無 ASLR、無堆疊 cookie；Broadcom Windows 服務同樣無 ASLR
- 存在 RWX 記憶體區域，控制 return address 即可直接跳至 shellcode
- 晶片含 7 個 OTP 金鑰槽；AES + HMAC 金鑰用於加密 SCD 及 flash 存儲
- clear_SCD.bin（全零）可藉由 CV flash update 清除 SCD，迫使晶片退回使用 hardcoded default keys
- CV flash update 為公開可呼叫指令，設計上即允許任意 flash 寫入
- 繞過 Windows Hello：偽造 CV fingerprint identify 回傳值後，以塑膠手指貼蔥段觸碰讀取器即可登入
- 取得 SYSTEM shell：後門韌體監聽 magic value 1337，觸發 WinBio 服務堆疊溢位，netcat 以 SvcHost 身份執行
- 實體攻擊：26 針排線透過 USB 轉接板引出，可外接至任意筆電存取 Control Vault
- 逆向工具：IDA / Ghidra；Linux API 含 debug symbol 可得函式名稱與資料結構；20 行 Python + ctypes 即可與韌體通訊
- 漏洞公告：Dell 於 2025 年 6 月發布 advisory，多枚 CVE；Cisco Talos 技術深度報告於發表後當週六釋出
結論
結論“安全晶片不等於安全——韌體缺乏 ASLR、堆疊保護與開機驗章，攻擊者可從本地用戶一路升權至永久植入惡意韌體並取得 Windows SYSTEM 權限，且重裝系統也無法消除。”
完整解析
詳細Dell Control Vault 3 是內嵌於百款以上 Dell 商用筆電的安全晶片，整合指紋讀取器、NFC 卡讀取器與智慧卡讀取器，底層為 Broadcom BCM58202 SoC，執行獨立的即時作業系統，負責安全儲存金鑰與加密 flash 資料等高敏感任務。由於幾乎無任何公開文件，Cisco Talos 的研究員 Firo Verity 首先透過 Linux 版開源 API（含 debug symbol）與 FIPS 認證文件重建系統架構，進而觀察到 Broadcom Windows 服務完全缺乏 ASLR，這個異常觸發了深入研究的動機。
應用韌體 Citadel 雖以加密形式存放於 flash，但研究員藉由逆向明文的 SBI 找到三步驟韌體更新流程：upgrade_start 發送加密 header 供晶片解密、update 逐塊傳輸加密韌體、upgrade_complete 驗簽後寫入。透過重現此流程，研究員成功解密 Citadel 韌體並展開漏洞分析。分析後發現韌體完全無 ASLR 與堆疊 cookie，且存在 RWX 記憶體區域，意味著一旦控制指令指標即可直接執行 shellcode，安全邊界幾乎等同虛設。
漏洞利用鏈從 CV close 的驗證邏輯缺陷出發：session handle 僅檢查指標範圍與 tag 存在，攻擊者可透過 CV create object 在 heap 植入偽造 session，再以 CV get random 作為「session oracle」無副作用地掃描 heap 定位目標，最終呼叫 CV close 達成任意 heap free。接著利用 heap 分配行為令小物件疊入大物件範圍，透過寫入大物件覆蓋小物件的 metadata，再將惡意小物件傳入 secure_bio_identify，觸發以使用者控制大小的 memcpy 寫入堆疊緩衝區，完成堆疊溢位並取得韌體執行權。
取得執行權後，研究員呼叫韌體內的 SOTP_with_key 函式竊取熔絲內 AES 與 HMAC 金鑰，解密 SCD，並偽造含自製 RSA 公鑰的新 SCD，最終透過任何人皆可呼叫的 CV flash update 安裝自訂韌體。由於開機時不再驗證應用韌體簽章，此惡意韌體在重裝 Windows 後依然持久存在。後續攻擊面向包括三條路徑：令 CV fingerprint identify 無條件回傳成功以繞過 Windows Hello 指紋登入；令後門韌體對特定 magic value（1337）回傳惡意酬載，觸發 WinBio 服務堆疊溢位取得 SYSTEM shell；以及實體攻擊者將 26 針排線透過 USB 轉接板引出，使任何能打開筆電的人皆可直接存取 Control Vault。Dell 已於 2025 年 6 月發布安全公告，多枚 CVE 同步揭露。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
