demining/scalar-venom-attackExploit- und Forschungs-Repository, das CVE-2025-60013 analysiert, eine kritische Schwachstelle in der HSM-Initialisierung, die die Wiederherstellung von Bitcoin-Private-Keys durch Pufferüberlauf und Shell-Metazeichen-Injection in F5OS-A FIPS-Modulen ermöglicht.
Diese Arbeit analysiert kryptografische Schwachstellen, die in moderner Infrastruktur zur Verwaltung kryptografischer Schlüssel entdeckt wurden, mit besonderem Fokus auf kritische Fehler in der Architektur von Hardware-Sicherheitsmodulen (HSMs) bei der Verarbeitung elliptischer Kurven-Private-Keys. Die Studie konzentriert sich auf eine Klasse von Angriffen, die unzureichend isolierte RAM-Verwaltung in zertifizierten kryptografischen Geräten ausnutzen. Im modernen Bitcoin-Kryptografie-Ökosystem ist die Sicherheit privater Schlüssel eine grundlegende Voraussetzung für den Schutz digitaler Vermögenswerte im Wert von weltweit Billionen Dollar. Hardware-Sicherheitsmodule (HSMs) , die nach dem Standard FIPS 140-2 zertifiziert sind, galten traditionell als undurchdringlicher Schutz für kryptografische Schlüssel durch hardwarebasierte Isolierung und strenge Speicherverwaltungsprotokolle. Die Entdeckung der kritischen Schwachstelle CVE-2025-60013 im F5OS-A FIPS HSM-Modul, kombiniert mit der Angriffsklasse Scalar Venom Attack (auch bekannt als Scalar Poison, Memory Phantom Leak Attack oder Private Key Compromise via Memory Leakage), hat diese Auffassung jedoch radikal verändert und gezeigt, dass Bitcoin Private Keys durch die Ausnutzung von Speicherverwaltungsfehlern vollständig kompromittiert werden können.
The Scalar Venom Attack ist eine kritische Klasse von Speicherverwaltungsschwachstellen (klassifiziert als CWE-415, CWE-401 und allgemeiner als Sensitive Memory Leak Attack (SMA)), die es einem Angreifer ermöglicht, kryptografische Skalare (ECDSA Private Keys) aus dem RAM eines Prozesses zu extrahieren, indem unzureichende Bereinigung und Speicherlöschung nach kryptografischen Operationen ausgenutzt werden. Im Gegensatz zu traditionellen kryptanalytischen Angriffen, die darauf abzielen, das Problem des diskreten Logarithmus auf elliptischen Kurven (ECDLP) mathematisch zu lösen, umgeht dieser Angriff die Kryptografie selbst, indem er grundlegende Architekturfehler in der Implementierung kryptografischer Bibliotheken und HSM-Speicherverwaltungsprotokolle ausnutzt.
Diese Forschung demonstriert eine katastrophale Angriffskette, die entsteht, wenn CVE-2025-60013 (F5OS-A FIPS HSM Initialisierungsschwachstelle bei der Verwendung von Passwörtern mit speziellen Shell-Metazeichen) mit den Techniken des Scalar Venom Attack kombiniert wird. Dies führt zu einem kritischen Bedrohungsszenario mit einem CVSS-Score von 9.5+ (Kritisch), obwohl CVE-2025-60013 offiziell als mittelschwere Schwachstelle (CVSS 5.7) eingestuft ist. Diese Kombination untergräbt die betriebliche Integrität von Millionen von Bitcoin-Adressen, die von kompromittierten HSMs kontrolliert werden, und stellt einen Paradigmenwechsel bei kryptografischen Angriffsmethoden dar, der über traditionelle Einzelvektor-Ausnutzungen hinausgeht.
CVE-2025-60013 ist eine OS Command Injection-Schwachstelle (klassifiziert als CWE-78) während des Initialisierungsprozesses des FIPS Hardware Security Module für F5-Plattformen. Die Schwachstelle tritt auf, wenn ein Benutzer mit privilegiertem Zugriff (Admin- oder Resource Admin-Rolle) versucht, das FIPS HSM-Modul mit einem Passwort zu initialisieren, das spezielle Shell-Metazeichen wie [unklar], [unklar ;] |, &[ $unklar], `und andere enthält.
Technischer Mechanismus der Schwachstelle:
Bei der Verarbeitung eines Passworts mit Shell-Metazeichen übergibt der HSM-Initialisierungscode die Passwortzeichenfolge an System-C-Bibliotheksfunktionen, ohne die Eingabe ordnungsgemäß zu validieren und zu bereinigen. Der anfällige Code sieht wie folgt aus:
// Anfälliger Code in der HSM-Initialisierungsprozedur
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM private key
char temp_buffer[256];
strcpy(temp_buffer, password); // SCHWACHSTELLE: Pufferüberlauf + Shell-Interpretation
derive_key_from_password(master_key, password); // erstellt Kopien des Schlüssels
// Wenn die Initialisierung fehlschlägt, wird der Speicher nicht gelöscht!
// master_key bleibt im Stack, seine Kopien im Heap
}
Kritische Konsequenz: Der Initialisierungsprozess verbleibt im Speicher mit teilweise kompromittierten kryptografischen Strukturen und erzeugt mehrere „Phantom"-Kopien des HSM-Master-Keys im Stack und Heap. Obwohl das HSM möglicherweise nicht korrekt initialisiert wird, enthält der Prozessspeicher kryptografische Artefakte, die einer forensischen Analyse zugänglich sind.
Offizielle Klassifizierung:
