demining/scalar-venom-attackRepository di exploit e ricerca che analizza CVE-2025-60013, una vulnerabilità critica di inizializzazione HSM che consente il recupero della chiave privata Bitcoin tramite buffer overflow e injection di metacaratteri di shell nei moduli FIPS F5OS-A.
Questo documento analizza le vulnerabilità crittografiche scoperte nelle moderne infrastrutture di gestione delle chiavi crittografiche, con particolare attenzione ai difetti critici nell'architettura dei moduli di sicurezza hardware (HSM) nella gestione delle chiavi private a curva ellittica. Lo studio si concentra su una classe di attacchi che sfruttano una gestione della RAM insufficientemente isolata nei dispositivi crittografici certificati. Nell'ecosistema crittografico Bitcoin moderno, la sicurezza delle chiavi private è un requisito fondamentale per proteggere asset digitali per un valore di trilioni di dollari a livello globale. I moduli di sicurezza hardware (HSM) certificati secondo lo standard FIPS 140-2 sono stati tradizionalmente considerati in grado di fornire una protezione impenetrabile per le chiavi crittografiche attraverso l'isolamento a livello hardware e rigorosi protocolli di gestione della memoria. Tuttavia, la scoperta della vulnerabilità critica CVE-2025-60013 nel modulo HSM FIPS F5OS-A, combinata con la classe di attacchi Scalar Venom Attack (nota anche come Scalar Poison, Memory Phantom Leak Attack o Private Key Compromise via Memory Leakage), ha cambiato radicalmente questa concezione, dimostrando la possibilità di compromettere completamente le chiavi private Bitcoin attraverso lo sfruttamento di difetti nella gestione della memoria.
Lo Scalar Venom Attack è una classe critica di vulnerabilità di gestione della memoria (classificata come CWE-415, CWE-401 e, più in generale, come Sensitive Memory Leak Attack (SMA)) che consente a un attaccante di estrarre scalari crittografici (chiavi private ECDSA) dalla RAM di un processo sfruttando una sanitizzazione e una pulizia della memoria inadeguate dopo le operazioni crittografiche. A differenza dei tradizionali attacchi crittanalitici volti a risolvere matematicamente il problema del logaritmo discreto su curva ellittica (ECDLP), questo attacco bypassa la crittografia stessa sfruttando difetti architetturali fondamentali nell'implementazione delle librerie crittografiche e dei protocolli di gestione della memoria degli HSM.
Questa ricerca dimostra una catena d'attacco catastrofica che si verifica quando si combinano CVE-2025-60013 (vulnerabilità di inizializzazione F5OS-A FIPS HSM quando si utilizzano password contenenti metacaratteri speciali della shell) con le tecniche di Scalar Venom Attack , dando origine a uno scenario di minaccia critico con punteggio CVSS di 9.5+ (Critical), nonostante la valutazione ufficiale di CVE-2025-60013 come vulnerabilità di livello medio (CVSS 5.7). Questa combinazione mina l'integrità operativa di milioni di indirizzi Bitcoin controllati da HSM compromessi e rappresenta un cambiamento di paradigma nei metodi di attacco crittografico che va oltre i tradizionali exploit a vettore singolo.
CVE-2025-60013 è una vulnerabilità di OS Command Injection (classificata come CWE-78) durante il processo di inizializzazione del modulo di sicurezza hardware FIPS per le piattaforme F5. La vulnerabilità si verifica quando un utente con accesso privilegiato (ruolo Admin o Resource Admin) tenta di inizializzare il modulo HSM FIPS utilizzando una password contenente metacaratteri speciali della shell, come [unclear], [unclear ;] |, &[ $unclear], `e altri.
Meccanismo tecnico della vulnerabilità:
Quando si elabora una password contenente metacaratteri della shell, il codice di inizializzazione dell'HSM passa la stringa della password alle funzioni C della libreria di sistema senza convalidare e sanificare correttamente l'input. Il codice vulnerabile si presenta così:
// Vulnerable code in HSM initialization procedure
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM private key
char temp_buffer[256];
strcpy(temp_buffer, password); // VULNERABILITY: buffer overflow + shell interpretation
derive_key_from_password(master_key, password); // creates copies of key
// If initialization fails, memory is not cleared!
// master_key remains in the stack, its copies—in heap
}
Conseguenza critica: Il processo di inizializzazione rimane in memoria con strutture crittografiche parzialmente compromesse, creando molteplici copie "fantasma" della chiave master dell'HSM nello stack e nell'heap. Sebbene l'HSM possa non inizializzarsi correttamente, la memoria del processo contiene artefatti crittografici accessibili all'analisi forense.
