demining/scalar-venom-attackRepositório de exploração e pesquisa que analisa a CVE-2025-60013, uma vulnerabilidade crítica de inicialização de HSM que permite a recuperação de chaves privadas de Bitcoin por meio de estouro de buffer e injeção de metacaracteres de shell nos módulos FIPS do F5OS-A.
Este artigo analisa vulnerabilidades criptográficas descobertas na infraestrutura moderna de gerenciamento de chaves criptográficas, com foco especial em falhas críticas na arquitetura dos módulos de segurança de hardware (HSMs) ao lidar com chaves privadas de curvas elípticas. O estudo concentra-se em uma classe de ataques que exploram o gerenciamento insuficientemente isolado de RAM em dispositivos criptográficos certificados. No ecossistema criptográfico moderno do Bitcoin, a segurança das chaves privadas é um requisito fundamental para proteger ativos digitais avaliados em trilhões de dólares em todo o mundo. Os Módulos de Segurança de Hardware (HSMs) certificados pelo padrão FIPS 140-2 têm sido tradicionalmente considerados como fornecendo proteção impenetrável para chaves criptográficas por meio de isolamento em nível de hardware e protocolos rígidos de gerenciamento de memória. No entanto, a descoberta da vulnerabilidade crítica CVE-2025-60013 no módulo HSM FIPS F5OS-A, combinada com a classe de ataques Scalar Venom Attack (também conhecida como Scalar Poison, Memory Phantom Leak Attack ou Private Key Compromise via Memory Leakage), mudou radicalmente essa noção, demonstrando a possibilidade de comprometer completamente chaves privadas de Bitcoin por meio da exploração de falhas no gerenciamento de memória.
O Scalar Venom Attack é uma classe crítica de vulnerabilidades de gerenciamento de memória (classificada como CWE-415, CWE-401 e, mais amplamente, como Sensitive Memory Leak Attack (SMA)) que permite a um atacante extrair escalares criptográficos (chaves privadas ECDSA) da RAM de um processo, explorando a sanitização insuficiente e a limpeza de memória após operações criptográficas. Ao contrário dos ataques criptoanalíticos tradicionais que visam resolver matematicamente o problema do logaritmo discreto em curvas elípticas (ECDLP), este ataque contorna a própria criptografia ao explorar falhas arquiteturais fundamentais na implementação de bibliotecas criptográficas e nos protocolos de gerenciamento de memória dos HSMs.
Esta pesquisa demonstra uma cadeia de ataque catastrófica que ocorre ao combinar CVE-2025-60013 ( F5OS-A FIPS HSM vulnerabilidade de inicialização ao usar senhas contendo metacaracteres especiais de shell) com técnicas do Scalar Venom Attack , resultando em um cenário de ameaça crítica com pontuação CVSS de 9.5+ (Crítica), apesar da classificação oficial do CVE-2025-60013 como vulnerabilidade de nível médio (CVSS 5.7). Essa combinação compromete a integridade operacional de milhões de endereços Bitcoin controlados por HSMs comprometidos e representa uma mudança de paradigma nos métodos de ataque criptográfico, além das explorações tradicionais de vetor único.
O CVE-2025-60013 é uma vulnerabilidade de injeção de comandos do sistema operacional (classificada como CWE-78) durante o processo de inicialização do Módulo de Segurança de Hardware FIPS para plataformas F5. A vulnerabilidade ocorre quando um usuário com acesso privilegiado (função Admin ou Resource Admin) tenta inicializar o módulo HSM FIPS usando uma senha contendo metacaracteres especiais de shell, como [unclear], [unclear ;] |, &[ $unclear], ` e outros.
Mecanismo técnico da vulnerabilidade:
Ao processar uma senha contendo metacaracteres de shell, o código de inicialização do HSM passa a string da senha para funções da biblioteca C do sistema sem validar e sanitizar adequadamente a entrada. O código vulnerável tem a seguinte aparência:
// Vulnerable code in HSM initialization procedure
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM private key
char temp_buffer[256];
strcpy(temp_buffer, password); // VULNERABILITY: buffer overflow + shell interpretation
derive_key_from_password(master_key, password); // creates copies of key
// If initialization fails, memory is not cleared!
// master_key remains in the stack, its copies—in heap
}
Consequência crítica: O processo de inicialização permanece na memória com estruturas criptográficas parcialmente comprometidas, criando múltiplas cópias "fantasma" da chave mestra do HSM na pilha (stack) e no heap. Embora o HSM possa não inicializar corretamente, a memória do processo contém artefatos criptográficos acessíveis à análise forense.
Classificação oficial:
