博通芯片漏洞引爆，数百万戴尔电脑中招

思科Talos团队发现，超过100款戴尔电脑所使用的博通芯片存在严重安全漏洞，这可能会让数千万用户的设备陷入危险境地，攻击者能够借此窃取密码，甚至获取指纹等敏感生物识别信息。

此次发现的漏洞共有五个，编号分别为CVE - 2025 - 24311、CVE - 2025 - 25215、CVE - 2025 - 24922、CVE - 2025 - 25050以及CVE - 2025 - 24919。这些漏洞存在于博通BCM5820X系列芯片中，而该芯片被广泛应用于数千万配备ControlVault3的戴尔商用电脑，其中Latitude和Precision系列是主要机型。ControlVault3是一个基于硬件的安全区域，它承担着存储密码、生物识别信息以及安全代码等敏感数据的重任，这些数据都存储在固件之中。

戴尔公司在得知这一情况后，迅速做出了反应。戴尔发言人向《The Register》透露，早在6月13日，公司就已经就修复这些漏洞的更新通知了客户。“我们与固件供应商紧密合作，以最快的速度解决了这些问题，并且依据我们的漏洞响应政策，透明地披露了所报告的漏洞情况。”戴尔发言人还建议客户查看戴尔安全公告DSA - 2025 - 053，以便了解受影响产品的具体信息、版本情况等更多内容。

目前，戴尔和Talos方面均表示，尚未发现这些CVE漏洞在野外被不法分子利用的迹象。戴尔发言人再次提醒用户：“一如既往，客户一定要及时应用我们提供的安全更新，并且使用我们产品的受支持版本，这样才能确保系统始终处于安全状态。”然而，博通公司对于《The Register》的询问却未做出任何回应。Talos发言人也表示，研究人员经过调查，并未发现博通BCM5820X芯片在这些戴尔电脑之外还有其他用途。

这些存在漏洞的戴尔笔记本电脑型号具有广泛的应用场景。Talos高级漏洞研究员菲利普·劳莱雷（Philippe Laulheret）在周二的一份报告中指出，尤其是这些电脑的坚固版，在网络安全行业、政府机构以及一些具有挑战性的工作环境中都得到了大量使用。在那些对登录安全性要求极高的敏感行业，比如在登录时需要通过智能卡或NFC进行身份验证的场景，ControlVault设备就显得尤为重要，因为它是启用这些安全功能不可或缺的组成部分。

为了更深入地研究这些安全漏洞，劳莱雷将在周三的黑帽大会上进行详细讲解。他将向大家介绍这些安全漏洞的具体情况，以及低权限用户如何利用这些漏洞来完全破坏芯片、窃取其中的机密信息，并且在应用固件上获得持久的访问权限。

为了让大家更直观地了解攻击方式，研究人员还在今日的报告中嵌入了视频，展示了几种可能的攻击场景。在一个视频中，劳莱雷重点展示了如何利用CVE - 2025 - 24919漏洞。这是一个影响ControlVault Windows API的不安全反序列化漏洞，非管理员用户可以利用相关API与CV固件进行交互，进而在CV固件上触发任意代码执行。一旦攻击成功，就有可能泄露设备安全至关重要的密钥材料，攻击者也就获得了永久修改固件的能力。更可怕的是，攻击者还能够在电脑的ControlVault固件中植入后门，而用户却丝毫不会察觉，同时攻击者还能持续访问被攻破的机器。

除了这种常见的攻击场景，劳莱雷还详细说明了另一种可能的情况。如果本地攻击者能够物理接触到易受攻击的笔记本电脑，比如用户将笔记本电脑遗留在酒店房间无人看管时，攻击者就有机会“撬开电脑，通过定制连接器直接通过USB访问USH板”。这样一来，攻击者无需登录系统或者使用全盘加密密码，就能够破坏机器。而且从理论上来说，用户可能根本不知道有人刚刚对他们的电脑进行了物理入侵。虽然机箱入侵在一定程度上是可以被检测到的，但这需要事先启用相应的安全功能。

“这种情况还有一个有趣的后果，”劳莱雷写道，“如果系统配置为使用用户指纹解锁，那么攻击者也有可能篡改CV固件，使其接受任何指纹，而不仅仅局限于合法用户的指纹。”这无疑会给用户的信息安全带来更大的威胁。

为了降低这些风险，Talos给出了一些实用的建议。在像酒店房间这种机器有较高物理风险被破坏的情况下，建议用户禁用指纹登录功能。同时，用户要养成良好的习惯，保持系统更新，确保运行最新版本的固件。正如Talos所指出的，CV固件可以通过Windows Update自动部署，不过戴尔通常会在几周前就发布固件，用户可以关注并及时更新。