O vulnerabilitate din BIOS-ul Dell permite recuperarea parolelor de administrator

O vulnerabilitate în modul în care Dell stochează parolele de administrator și de utilizator ale BIOS-ului permite recuperarea completă a acestora dintr-un dump flash în câteva milisecunde, fără a fi necesară utilizarea atacaturilor de tip brute-force.

Vulnerabilitatea, identificată ca CVE-2026-40639 (DSA-2026-197), provine dintr-un sistem de criptare XOR defectuos, și nu dintr-un hash criptografic adecvat.

Dell stochează parolele BIOS în locația DVAR (Dell Variable) a chipului flash SPI, criptate folosind o cheie XOR repetitivă de 20 de octeți aplicată unui câmp de 32 de octeți. Primul caracter al parolei este stocat complet necriptat.

Pentru orice parolă de 12 caractere sau mai puțin, partea finală neutilizată a câmpului de 32 de octeți, completată cu caractere nule, este supusă unei operații XOR cu zero, ceea ce dezvăluie pur și simplu octeții cheii în format brut. Deoarece cheia are doar 20 de octeți, iar câmpul are 32, această neconcordanță duce la divulgarea întregii chei direct din înregistrare, permițând atacatorilor să descifreze parola instantaneu.

Parolele mai lungi lasă o mică zonă „orbă”, dar specialiștii au găsit o soluție pentru a o ocoli: derivarea cheii de la Dell utilizează doar o valoare inițială fixă pentru fiecare dispozitiv, un GUID și primul caracter necriptat al parolei.

Aceasta înseamnă că există doar 256 de chei posibile pentru fiecare dispozitiv. Deoarece înregistrările DVAR vechi, nu sunt șterse în mod securizat, un atacator poate adesea să recupereze o parolă scurtă mai veche, să-i extragă cheia și să o aplice unei parole actuale mai lungi care are aceeași primă literă.

Aceasta afectează driverul SMM SystemPwSmm utilizat pe scară largă pe platformele client Dell, fiind confirmată pe modelele Latitude E7250, Latitude 7490, XPS 15 9560 și, în special, pe thin client-ul Wyse 5070 din generația actuală, care este compatibil, dar rămâne fără patch-uri.

Modelele mai noi, precum OptiPlex 3000, utilizează un vault SIVB adecvat, bazat pe SHA-256, și nu sunt vulnerabile, ceea ce arată că Dell dispune de o soluție, dar nu a implementat-o încă la scară largă.

Deoarece parolele BIOS controlează adesea funcția Secure Boot, ordinea de pornire și protecțiile DMA pre-pornire, recuperarea acestora poate deschide o cale de ocolire a criptării complete a disk-ului, în special în cazul în care politicile TPM nu iau în calcul toate setările relevante.

Atacul necesită acces fizic la chipul flash prin intermediul unui clip și al unui dispozitiv de programare sau pornirea unui sistem de operare controlat de atacator, dar nu necesită autentificare sau interacțiune din partea utilizatorului.

Dell a confirmat constatările și a emis buletinul de securitate DSA-2026-197 pe 9 iunie 2026, remediind o primă serie de platforme (gamele Edge Gateway, Embedded PC, Precision și Rugged Latitude), urmând ca remedierile suplimentare să fie disponibile la sfârșitul lunii iulie 2026. De remarcat faptul că avizul nu acoperă încă modelul Wyse 5070 sau alte câteva dispozitive pentru care s-a confirmat existența vulnerabilității.

Sursă: