Investigación de ingeniería inversa SMM del BIOS GIGABYTE H510M K V2 y CVE-2025-7026/7027/7028/7029

Ingeniería inversa estática de una imagen de BIOS GIGABYTE H510M K V2 (H510MKV2.F3): extracción completa de volúmenes de firmware UEFI, análisis del asignador de memoria del núcleo SMM de la especificación PI y una búsqueda dirigida de las cuatro vulnerabilidades de corrupción de memoria SMM que GIGABYTE/Binarly divulgaron en 2025 (CVE-2025-7026, CVE-2025-7027, CVE-2025-7028, CVE-2025-7029).

Estado: 1 de 4 CVE confirmados como presentes (CVE-2025-7027). Los otros 3 se buscaron activamente en todo el firmware accesible y no se encontraron; consulte CVE no confirmados para saber exactamente qué significa y qué no significa esto.

---

TODOS LOS ARCHIVOS DE LA INVESTIGACIÓN: DESCARGA DE GOOGLE DRIVE: SMM_ALL

Tabla de contenidos

• Aviso legal / alcance
• Objetivo
• TL;DR
• Metodología y herramientas
• Estructura del firmware
• Estructura del repositorio
• Antecedentes: los CVE públicos
• Hallazgo extra: el asignador de memoria SMM (PiSmmCore)
• Confirmado: CVE-2025-7027
• CVE no confirmados: CVE-2025-7026 / 7028 / 7029
• Remediación
• Limitaciones
• Referencias

---

Aviso legal / alcance

Esta es una investigación de n-day, no una divulgación de 0-day. Los cuatro CVE referenciados aquí ya habían sido divulgados públicamente y parcheados por GIGABYTE (el firmware parcheado comenzó a distribuirse el 2025-06-12), con CVE asignados y documentados por Binarly y CERT/CC antes de que comenzara esta investigación. Nada en este repositorio es un nuevo descubrimiento de vulnerabilidades: es una verificación independiente mediante análisis estático de si las clases de errores previamente divulgadas y previamente parcheadas están presentes en una compilación de BIOS específica y descargable públicamente.

• No se incluye ni se construyó ningún exploit o PoC funcional. Esto es solo análisis estático (desensamblado/descompilación de los módulos de firmware extraídos); no se ejecutó nada, no se leyó/escribió SMRAM y no se tocó hardware.
• No se reivindica ninguna vulnerabilidad nueva. La presencia de CVE-2025-7027 se confirma haciendo coincidir el patrón de código vulnerable ya descrito públicamente por Binarly, no por descubrirlo de forma independiente.
• Publicado con fines educativos / de seguridad defensiva: comprender cómo se ven en la práctica los errores de firmware n-day y reforzar la propia recomendación de actualización de GIGABYTE con evidencia concreta para esta placa/revisión de BIOS específica.
• Si tiene esta placa: actualice su BIOS. Consulte Remediación.

Objetivo

Placa	GIGABYTE H510M K V2 (H510MKV2)
Archivo de BIOS	H510MKV2.F3
Tamaño del archivo	16777216 bytes (16 MB)
Fecha del archivo	2023-12-20
MD5	a9bca8aeb55061824af1c3eedfb5c846
SHA-256	934a935e5faba8d2cea4e1d51e9edb6aed86b32f412d0da5bae602bd9fd8f9f3
Chipset	Intel H510
Parche del proveedor disponible desde	2025-06-12 (esta compilación es anterior por ~18 meses)

TL;DR

• Se extrajo el árbol completo de volúmenes de firmware UEFI de la imagen de BIOS (uefi_firmware / uefi-firmware-parser): 356 archivos FFS enumerados en el volumen SMM/DXE, 302 con una imagen PE32/TE extraíble.
• Se aisló e hizo ingeniería inversa completa de PiSmmCore (el núcleo SMM de la especificación PI), confirmando y nombrando el verdadero asignador de pool/páginas SMM (la implementación interna de SmmAllocatePool/SmmFreePool/SmmAllocatePages/SmmFreePages) mediante sus firmas de guarda "sphd"/"tail" codificadas de forma fija: una coincidencia exacta con el código abierto MdeModulePkg/Core/PiSmmCore/Pool.c de EDK2.
• Se buscaron marcadores identificativos de los informes públicos de Binarly sobre CVE-2025-7026/7027/7028/7029 en todos los módulos extraíbles de todos los volúmenes de firmware encontrados en la ROM (325+ módulos en total).
• CVE-2025-7027: confirmado. Se encontró y rastreó la ruta de código vulnerable exacta en GenericComponentSmmEntry: una variable NVRAM (SetupXtuBufferAddress) se obtiene mediante GetVariable() sin validación y se usa directamente como puntero de escritura alcanzable a través de SW SMI 0xB2; esto coincide punto por punto con la descripción pública de la causa raíz de Binarly.
• CVE-2025-7026 / -7028 / -7029: no encontrados a pesar de un barrido exhaustivo a nivel de cadenas/bytes de todo el firmware accesible. Esto se informa como un resultado abierto y no concluyente, no como un certificado de buena salud; consulte la sección dedicada para saber por qué y qué requeriría una respuesta real.

Metodología y herramientas

1. Extracción: uefi_firmware (uefi-firmware-parser -e) desempaquetó recursivamente la imagen de BIOS: regiones del Intel Flash Descriptor → volúmenes de firmware → archivos FFS → secciones, descomprimiendo todos los volúmenes de firmware comprimidos con LZMA/Tiano que encontró.
2. Aislamiento de módulos: cada archivo FFS con una sección .ui (nombre de visualización del driver) y una sección de imagen .pe/.te se copió como un binario PE32+/TE independiente llamado <DriverName>__<GUID8>.<pe32|te>.
3. Análisis estático: IDA Pro (a través de la interfaz de trabajador headless ida-pro-mcp / idalib) con el descompilador Hex-Rays, una base de datos por módulo. Solo autoanálisis + Hex-Rays; no había firmas FLIRT ni bibliotecas de tipos EDK2 disponibles en este entorno (se indica como limitación más abajo).
4. Búsqueda de marcadores: escaneos de bytes/cadenas en Python en todos los módulos extraídos (y en la imagen bruta de 16 MB) buscando los identificadores mencionados en los avisos públicos de Binarly (nombres de variables, constantes mágicas, etiquetas de funciones).
5. Rastreo manual: para cada coincidencia de marcador, la función que lo referenciaba se descompiló y se recorrió su grafo de llamadas (callers/callees) a mano para reconstruir la ruta de código real, cotejada con la descripción pública de la causa raíz.
6. Renombrado: las funciones confirmadas se renombraron en su base de datos de IDA para documentar el hallazgo directamente en el artefacto analizable, no solo en prosa.

Estructura del firmware

La imagen de BIOS contiene cuatro regiones del Intel Flash Descriptor; solo region-bios contiene código de GIGABYTE/OEM (region-me.fd, region-gbe.fd y region-pdr.fd son firmware del Intel Management Engine / GbE / descriptor: componentes separados, fuera de alcance y no explorados).

Dentro de region-bios se encontraron y extrajeron cuatro volúmenes de firmware:

Volumen (GUID de contenedor FFS)	Contenido	Archivos extraídos
file-9e21fd93-... → volume-ee4e5898-...	Volumen principal de drivers DXE/SMM: todos los drivers Smm*, drivers DXE de plataforma	302
file-f641ac56-... → volume-ee4e5898-...	Copia duplicada/de fase PEI de lo anterior (subconjunto más pequeño: PiSmmCommunicationPei, IT8728FSmmFeaturesPei, etc.)	22
file-3417f275-... → volume-3417f275-...	Volumen de puesta en marcha temprana PEI/DXE (DxeIpl, FspS3Notify, ...)	21 (2 con imágenes)
file-05ca020b-... → volume-05ca020b-...	Volumen auxiliar pequeño, sin imágenes ejecutables	2