DT Research ha descubierto una aplicación UEFI vulnerable firmada con un certificado UEFI de terceros de Microsoft que podría permitir a un actor malicioso eludir el arranque seguro UEFI.
Productos afectados
BiosFlashShell
- Versiones 80.02, 81.02, 70.17, 70.18, 70.19, 70.20, 70.21, 70.22, 71.17, 71.18, 71.19, 71.20, 71.21, 71.22
Impacto
La vulnerabilidad se ha identificado como:
CVE-2025-3052: con una puntuación de 8.2 en CVSS v3.1. Existe una vulnerabilidad de escritura arbitraria en el firmware UEFI firmado por Microsoft que podría permitir la ejecución de código de software no confiable. Esto podría permitir a un actor malicioso controlar su valor, lo que provoca escrituras arbitrarias en memoria, incluyendo la modificación de configuraciones críticas del firmware almacenadas en la NVRAM. La explotación de esta vulnerabilidad podría permitir eludir la seguridad, mecanismos de persistencia o comprometer completamente el sistema.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias
- https://kb.cert.org/vuls/id/806555
- https://www.cve.org/CVERecord?id=CVE-2025-3052
- https://nvd.nist.gov/vuln/detail/CVE-2025-3052