GIGABYTE H510M K V2 BIOS SMM Reverse-Engineering & Forschung zu CVE-2025-7026/7027/7028/7029

Statisches Reverse-Engineering eines GIGABYTE H510M K V2 (H510MKV2.F3) BIOS-Images: vollständige UEFI-Firmware-Volume-Extraktionsanalyse des PI-Spezifikations-SMM-Core-Speicher- Allokators und eine gezielte Suche nach den vier SMM-Speicherkorruptions- Schwachstellen, die GIGABYTE/Binarly im Jahr 2025 offengelegt haben (CVE-2025-7026 CVE-2025-7027 CVE-2025-7028 CVE-2025-7029).

Status: 1 von 4 CVEs als vorhanden bestätigt (CVE-2025-7027). Die anderen 3 wurden aktiv im gesamten zugänglichen Firmware-Image gesucht und nicht gefunden – siehe Unconfirmed CVEs für genau was das bedeutet und was nicht.

---

ALLE DATEIEN DER FORSCHUNG: GOOGLE DRIVE DOWNLOAD: SMM_ALL

Inhaltsverzeichnis

• Haftungsausschluss / Umfang
• Zielsystem
• TL;DR
• Methodik & Werkzeuge
• Firmware-Aufbau
• Repository-Struktur
• Hintergrund: die öffentlichen CVEs
• Bonus-Fund: der SMM-Speicher-Allokator (PiSmmCore)
• Bestätigt: CVE-2025-7027
• Unbestätigte CVEs – CVE-2025-7026 / 7028 / 7029
• Behebung
• Einschränkungen
• Referenzen

---

Haftungsausschluss / Umfang

Dies ist N-Day-Forschung, keine 0-Day-Offenlegung. Alle vier hier referenzierten CVEs wurden bereits öffentlich offengelegt und von GIGABYTE gepatcht (gepatchte Firmware wurde ab 2025-06-12 ausgeliefert), die CVEs wurden von Binarly und CERT/CC vergeben und vor Beginn dieser Forschung beschrieben. Nichts in diesem Repository ist eine neue Schwachstellenentdeckung – es ist eine unabhängige statische Analyse zur Verifizierung, ob die zuvor offengelegten, zuvor gepatchten Bug-Klassen in einem bestimmten öffentlich herunterladbaren BIOS-Build vorhanden sind.

• Es ist kein funktionierender Exploit oder PoC enthalten oder wurde erstellt. Dies ist reine statische Analyse (Disassemblierung/Dekompilierung der extrahierten Firmware- Module); es wurde nichts ausgeführt, kein SMRAM gelesen/beschrieben, keine Hardware berührt.
• Es wird keine neue Schwachstelle behauptet. Das Vorhandensein von CVE-2025-7027 wird bestätigt, indem das bereits von Binarly öffentlich beschriebene anfällige Codemuster abgeglichen wird – nicht durch unabhängige Entdeckung.
• Veröffentlicht für Bildungs-/Defensiv-Sicherheitszwecke: um zu verstehen, wie N-Day-Firmware-Bugs in der Praxis aussehen, und um GIGABYTEs eigene Update-Empfehlung mit konkreten Beweisen für diese spezifische Board/BIOS- Revision zu untermauern.
• Wenn Sie dieses Board besitzen: Aktualisieren Sie Ihr BIOS. Siehe Remediation.

Zielsystem

Mainboard	GIGABYTE H510M K V2 (H510MKV2)
BIOS-Datei	H510MKV2.F3
Dateigröße	16777216 Bytes (16 MB)
Dateidatum	2023-12-20
MD5	a9bca8aeb55061824af1c3eedfb5c846
SHA-256	934a935e5faba8d2cea4e1d51e9edb6aed86b32f412d0da5bae602bd9fd8f9f3
Chipsatz	Intel H510
Vendor-Patch verfügbar seit	2025-06-12 (dieser Build ist ~18 Monate älter)

TL;DR

• Den vollständigen UEFI-Firmware-Volume-Baum aus dem BIOS-Image extrahiert (uefi_firmware / uefi-firmware-parser) – 356 FFS-Dateien im SMM/DXE-Volume aufgelistet, 302 mit extrahierbarem PE32/TE-Image.
• PiSmmCore (den PI-Spezifikations-SMM-Core) isoliert und vollständig reverse-engineered, wodurch der echte SMM-Pool/Seiten-Allokator bestätigt und benannt wurde (SmmAllocatePool/SmmFreePool/SmmAllocatePages/SmmFreePages- Interna) über seine hartkodierten "sphd"/"tail"-Guard-Signaturen – eine exakte Übereinstimmung mit der Open-Source-Datei MdeModulePkg/Core/PiSmmCore/Pool.c von EDK2.
• Jedes extrahierbare Modul in jedem im ROM gefundenen Firmware-Volume wurde (insgesamt 325+ Module) auf identifizierende Marker aus Binarlys öffentlichen CVE-2025-7026/7027/7028/7029-Veröffentlichungen durchsucht.
• CVE-2025-7027 – bestätigt. Der exakte anfällige Codepfad in GenericComponentSmmEntry wurde gefunden und nachverfolgt: Eine NVRAM-Variable (SetupXtuBufferAddress) wird über GetVariable() ohne Validierung abgerufen und direkt als Schreibzeiger verwendet, der über SW SMI 0xB2 erreichbar ist – dies stimmt Punkt für Punkt mit Binarlys öffentlicher Root-Cause-Beschreibung überein.
• CVE-2025-7026 / -7028 / -7029 – nicht gefunden, trotz eines erschöpfenden String/Byte-Level-Scans des gesamten zugänglichen Firmware-Images. Dies wird als offenes, nicht schlüssiges Ergebnis gemeldet, nicht als Entwarnung – siehe den eigenen Abschnitt für das Warum und was eine echte Antwort erfordern würde.

Methodik & Werkzeuge

1. Extraktion uefi_firmware (uefi-firmware-parser -e) hat das BIOS-Image rekursiv entpackt: Intel Flash-Descriptor-Regionen → Firmware-Volumes → FFS-Dateien → Sektionen, wobei jedes LZMA/Tiano-komprimierte Firmware-Volume dekomprimiert wurde.
2. Modulisolation jede FFS-Datei mit einer .ui-Sektion (Anzeigename des Treibers) und einer .pe/.te-Bildsektion wurde als eigenständiges PE32+/TE-Binary mit dem Namen <DriverName>__<GUID8>.<pe32|te> kopiert.
3. Statische Analyse IDA Pro (über die ida-pro-mcp-/idalib-Headless-Worker-Schnittstelle) mit dem Hex-Rays- Dekompilierer, eine Datenbank pro Modul. Nur Auto-Analyse + Hex-Rays – keine FLIRT-Signaturen oder EDK2-Typbibliotheken waren in dieser Umgebung verfügbar (unten als Einschränkung vermerkt).
4. Markersuche Python-Byte-/String-Scans über jedes extrahierte Modul (und das rohe 16-MB-Image) nach Bezeichnern aus Binarlys öffentlichen Advisories (Variablennamen, magische Konstanten, Funktionsbezeichnungen).
5. Manuelles Tracing für jeden Marker-Treffer wurde die referenzierende Funktion dekompiliert und ihr Call-Graph manuell durchlaufen (Aufrufer/Aufgerufene), um den tatsächlichen Codepfad zu rekonstruieren, abgeglichen mit der öffentlichen Root-Cause-Beschreibung.
6. Umbenennung bestätigte Funktionen wurden in ihrer IDA-Datenbank umbenannt, um den Fund direkt im analysierbaren Artefakt zu dokumentieren, nicht nur in Prosa.

Firmware-Aufbau

Das BIOS-Image enthält vier Intel-Flash-Descriptor-Regionen; nur region-bios enthält GIGABYTE/OEM-Code (region-me.fd region-gbe.fd region-pdr.fd sind Intel Management Engine / GbE / Descriptor-Firmware – separate Komponenten, die außerhalb des Rahmens liegen und nicht untersucht wurden).

Innerhalb von region-bios wurden vier Firmware-Volumes gefunden und extrahiert:

Volume (Container-FFS-GUID)	Inhalt	Extrahierte Dateien
file-9e21fd93-... → volume-ee4e5898-...	Haupt-DXE/SMM-Treiber-Volume – alle Smm*-Treiber, Platform-DXE-Treiber	302
file-f641ac56-... → volume-ee4e5898-...	Duplikat/PEI-Phasen-Kopie des Obigen (kleinere Teilmenge: PiSmmCommunicationPei IT8728FSmmFeaturesPei usw.)	22
file-3417f275-... → volume-3417f275-...	Frühes PEI/DXE-Bring-up-Volume (DxeIpl FspS3Notify ...)	21 (2 mit Images)
file-05ca020b-... → volume-05ca020b-...	Kleines Hilfs-Volume, keine ausführbaren Images	2

Alle vier wurden extrahiert und einem Marker-Scan unterzogen (siehe Unbestätigte CVEs).

Repository-Struktur