‘ReVault’安全漏洞影响数百万台戴尔笔记本
现已修复的漏洞存在于固件级别，能够在受感染系统上实现深度持久化。
Jai Vijayan，特约撰稿人 | 2025年8月6日 | 4分钟阅读时间
来源：Robert Way via Shutterstock
黑帽大会美国站 - 拉斯维加斯 - 8月6日星期三 - 超过100款戴尔笔记本型号，包括政府机构和大企业使用的设备，存在可能让攻击者获取并维持持久控制权的漏洞，即使在系统重启后仍能保持控制。
这些漏洞影响管理ControlVault3的固件，这是戴尔在某些Latitude和Precision商务笔记本型号上用于安全存储密码、加密密钥和指纹扫描等敏感数据的最新技术版本之一。它们还影响相关的Windows应用程序编程接口（API）。
笔记本固件级安全漏洞
攻击者可以将这些漏洞串联利用——被思科研究人员统称为"ReVault"，并于今日在黑帽大会上展示——在初始访问后提升权限、绕过认证控制，并在受感染系统上保持持久性。
Talos向戴尔报告的五个ReVault漏洞中的两个，CVE-2025-24311（CVSS评分：8.1）和CVE-2025-25050（CVSS评分8.8），是所谓的越界内存访问缺陷。攻击者可以通过向固件接口发出精心构造的API调用来利用它们泄露敏感数据。
戴尔ControlVault3固件中的一个漏洞CVE-2025-25215（CVSS评分：8.8）是一个任意释放问题，允许攻击者篡改安全内存区域、操纵控制，或在受感染系统上实现非常深层次的持久化。Talos向戴尔报告的第四个漏洞CVE-2025-24922（CVSS评分：8.8）是一个缓冲区溢出漏洞，可被利用来运行恶意代码。第五个漏洞CVE-2025-24919（CVSS评分：8.1）源于不安全的反序列化，同样允许攻击者在受影响系统上执行未授权命令。
ReVault笔记本漏洞凸显了企业安全中日益关注的问题：能够在传统修复工作中存活的固件级攻击。与针对软件漏洞的恶意软件不同，固件漏洞利用在操作系统之下运行，并且能够通过完整的系统重装保持持久性，这使得它们对企业、政府机构和任何处理敏感数据的实体特别隐蔽。UEFI引导程序、BIOS、安全芯片和管理控制器都允许攻击者建立深度系统持久性，在加密发生前拦截敏感数据，并保持隐蔽访问，这种访问能够经受操作系统更新、 antivirus扫描甚至硬件更换。
来源：思科Talos
戴尔任意代码执行：远程和本地
思科Talos的高级漏洞研究员Philippe Laulheret将ReVault漏洞描述为攻击者可以通过远程方式或物理访问受影响设备来利用的问题。在远程场景中，攻击者可以在获得对系统的初始访问后利用这些漏洞，并使用它们来提升权限，并通过调整固件来确保在重启等情况下保持持久性。
“即使Windows被重新安装，受感染的固件可能会再次危害Windows主机，再次获得系统级权限，“Laulheret在黑帽会议前的简报中告诉Dark Reading。
同时，具有受影响设备物理访问权限的攻击者可以做许多相同的事情，并且还可以篡改固件以确保任何用户都可以登录设备，而不仅仅是合法用户。
“CVE-2025-24922、CVE-2025-25215和CVE-2025-25050都可以用来在固件上获得任意代码执行，允许我们用我们自己的恶意固件替换固件，“Laulheret指出。
在一个概念验证（PoC）漏洞利用中，思科Talos研究人员将CVE-2025-25215与CVE-2025-24922串联使用来实现代码执行。
“我们相信它们可以各自单独使用，[但]一起使用使利用更容易，“Laulheret解释说。从影响的角度来看，CVE-2025-24919允许研究人员使用系统级权限来危害在Windows主机上运行的服务，Laulheret补充道。他说，正是这种访问权限，攻击者可以用来在重启和操作系统重装过程中保持持久性。
戴尔已经发布了受影响版本的ControlVault3固件的更新，思科Talos敦促所有受影响的组织立即应用补丁。该公司建议，未使用任何ControlVault会有用的安全外围设备（如指纹和智能卡读卡器）的组织可能要考虑禁用ControlVault。“在风险增加时（例如，将笔记本电脑无人看管地留在酒店房间时），也值得考虑禁用指纹登录，“根据研究。“Windows还提供增强登录安全性（ESS），这可能有助于减轻一些物理攻击并检测不适当的（ControlVault）固件。”
对受影响的组织来说幸运的是，易受攻击的系统应该相对容易恢复到安全状态，Laulheret说。事实上，在戴尔发布漏洞补丁后不久，它们也通过Windows更新进行了分发。这意味着使用该服务的组织应该已经自动接收到修补版本。“我们预计大多数用户现在已经自动更新，“他补充道。