Enrique Nissim

O Deck Mate 2 é fornecido com credenciais pré-configuradas e imutáveis tanto para o shell de root quanto para a interface de usuário web. Vários serviços de gerenciamento, incluindo SSH, HTTP, Telnet, SMB e X11, estão habilitados por padrão. Um atacante que obtiver acesso a essas interfaces – normalmente através de conexões de rede locais ou próximas via portas USB ou Ethernet – pode usar essas credenciais para fazer login como administrador e obter controle total do sistema. Este acesso permite a modificação de utilitários de firmware e software do controlador, potencialmente levando a um comprometimento persistente. Embora caminhos de acesso remoto através de redes, conexões celulares ou links de telemetria possam existir, eles geralmente requerem capacidades adicionais ou erro do usuário. O fornecedor afirma que o acesso USB foi desativado em atualizações recentes de firmware.

O Deck Mate 1 executa firmware diretamente de uma EEPROM externa sem verificar sua autenticidade ou integridade. Um atacante com acesso físico pode substituir ou regravar a EEPROM para executar código arbitrário que persiste após reinicializações. O projeto carece de mecanismos modernos de inicialização segura ou atualização assinada.

The Deck Mate 2 device does not have a verified secure-boot chain or runtime integrity validation for its controller and display modules. Without cryptographic boot verification, an attacker with physical access can modify or replace the bootloader, kernel, or filesystem, leading to persistent code execution upon reboot. This allows for long-term firmware tampering that persists even after power cycles. The vendor has indicated that recent firmware updates improve update-chain integrity and disable physical update ports to reduce potential attack vectors.

O mecanismo de atualização de firmware do Deck Mate 2 não verifica assinaturas criptográficas nos pacotes de atualização. As atualizações são criptografadas utilizando uma única chave AES embutida no código, compartilhada entre todos os dispositivos, e empregam um HMAC truncado para validação de integridade. Isso permite que invasores com acesso à interface de atualização, tipicamente através da porta USB, criem ou modifiquem pacotes de firmware para executar código arbitrário como root. Isso pode levar a um comprometimento persistente da integridade do dispositivo e do processo de randomização. O acesso físico ou o acesso à rede local é o vetor de ataque mais provável, embora a exploração remota seja teoricamente possível com implantações de rede ou telemetria mal configuradas.

O problema está relacionado a uma validação inadequada em um registro específico do modelo (MSR) que poderia permitir que um programa malicioso com acesso ao ring0 modificasse a configuração do SMM enquanto o bloqueio SMI está ativado, levando potencialmente à execução de código arbitrário. Isso poderia dar a um invasor acesso ilimitado à memória do sistema e controle sobre o sistema operacional. A vulnerabilidade está sendo explorada ativamente.

O problema está relacionado à validação insuficiente de entradas no firmware Supervisor do Modo de Gerenciamento do Sistema (SMM) dos processadores AMD Ryzen. Isso poderia permitir que um invasor remoto elevasse privilégios e comprometesse a integridade, a disponibilidade e a confidencialidade das informações protegidas. A vulnerabilidade pode permitir que um invasor com um manipulador SMI comprometido obtenha acesso ao Ring0, levando potencialmente à execução de código arbitrário. O problema está sendo ativamente explorado.

O driver Dell `dbutil 2 3.sys` contém uma vulnerabilidade de controle de acesso insuficiente. Este problema permite que um usuário autenticado local escale privilégios, cause a negação de serviço ou divulgue informações protegidas. Em incidentes reais, o grupo Lazarus explorou essa falha usando a técnica Bring Your Own Vulnerable Driver (BYOVD) — na qual um driver legítimo, porém vulnerável, é instalado no sistema alvo — para implantar o rootkit FudModule. Isso permitiu que os invasores lessem e escrevessem na memória do kernel, desativando efetivamente múltiplos mecanismos de monitoramento de segurança do Windows para executar comandos com privilégios de nível de kernel. A campanha teve como alvo indivíduos na indústria aeroespacial nos Países Baixos e jornalistas políticos na Bélgica por meio de e-mails de phishing disfarçados de ofertas de emprego da Amazon.

The issue allows a local non-privileged malicious user to exploit a Universal Windows Platform application. This is achieved by manipulating the install software package feature, utilizing a race condition and a path traversal exploit. The goal is to run a malicious executable with elevated privileges.

An elevation of privilege issue exists due to the failure of ndis.sys to check the length of a buffer before copying memory to it. This allows attackers to affect the system.

The issue concerns the mdare64 48.sys, mdare32 48.sys, mdare32 52.sys, mdare64 52.sys, and Fortishield.sys drivers in FortiClient. These drivers do not properly restrict access to the API for management of processes and the Windows registry. This allows local users to obtain a privileged handle to a PID, which may have unspecified other impacts. An example of exploitation is a 0x2220c8 ioctl call.

The issue allows local users to write to arbitrary memory locations via a specific ioctl call, 0x226108, in certain drivers.

The issue is related to a stack-based buffer overflow in the collectoragent.exe component. This can be exploited by remote attackers who send a large PROCESS HELLO message to the Message Dispatcher on TCP port 8000, potentially allowing them to execute arbitrary code.