demining/scalar-venom-attackРепозиторий эксплойта и исследований, анализирующий CVE-2025-60013 — критическую уязвимость инициализации HSM, позволяющую восстановить приватные ключи Bitcoin через переполнение буфера и внедрение метасимволов оболочки в модулях F5OS-A FIPS.
В этой статье анализируются криптографические уязвимости, обнаруженные в современной инфраструктуре управления криптографическими ключами, с особым акцентом на критические недостатки в архитектуре аппаратных модулей безопасности (HSM) при обработке закрытых ключей на эллиптических кривых. Исследование фокусируется на классе атак, которые эксплуатируют недостаточно изолированное управление оперативной памятью в сертифицированных криптографических устройствах. В современной криптографической экосистеме Биткоина безопасность закрытых ключей является фундаментальным требованием для защиты цифровых активов стоимостью триллионы долларов по всему миру. Аппаратные модули безопасности (HSM) , сертифицированные по стандарту FIPS 140-2 , традиционно считались обеспечивающими непроницаемую защиту криптографических ключей благодаря аппаратной изоляции и строгим протоколам управления памятью. Однако обнаружение критической уязвимости CVE-2025-60013 в модуле F5OS-A FIPS HSM в сочетании с классом атак Scalar Venom Attack (также известных как Scalar Poison, Memory Phantom Leak Attack или Private Key Compromise via Memory Leakage) коренным образом изменило это представление, продемонстрировав возможность полной компрометации закрытых ключей Биткоина через эксплуатацию недостатков управления памятью.
Атака Scalar Venom — это критический класс уязвимостей управления памятью (классифицируемых как CWE-415, CWE-401 и в более широком смысле как атака утечки чувствительной памяти (SMA)), который позволяет злоумышленнику извлекать криптографические скаляры (закрытые ключи ECDSA) из оперативной памяти процесса, эксплуатируя недостаточную очистку и затирание памяти после криптографических операций. В отличие от традиционных криптоаналитических атак, направленных на математическое решение задачи дискретного логарифма на эллиптической кривой (ECDLP), эта атака обходит саму криптографию, используя фундаментальные архитектурные недостатки в реализации криптографических библиотек и протоколов управления памятью HSM.
Это исследование демонстрирует катастрофическую цепочку атак, возникающую при объединении CVE-2025-60013 (уязвимость инициализации F5OS-A FIPS HSM при использовании паролей, содержащих специальные метасимволы оболочки) с методами Scalar Venom Attack , что приводит к критическому сценарию угрозы с оценкой CVSS 9,5+ (критический), несмотря на официальную оценку CVE-2025-60013 как уязвимости среднего уровня (CVSS 5,7). Эта комбинация подрывает операционную целостность миллионов биткоин-адресов, контролируемых скомпрометированными HSM, и представляет собой смену парадигмы в методах криптографических атак, выходящих за рамки традиционных однонаправленных эксплойтов.
CVE-2025-60013 — это уязвимость внедрения команд ОС (классифицирована как CWE-78) во время инициализации аппаратного модуля безопасности FIPS для платформ F5. Уязвимость возникает, когда пользователь с привилегированным доступом (роль администратора или администратора ресурсов) пытается инициализировать модуль FIPS HSM, используя пароль, содержащий специальные метасимволы оболочки, такие как [неясно], [неясно ;] |, &[ $неясно], `и другие.
Технический механизм уязвимости:
При обработке пароля, содержащего метасимволы оболочки, код инициализации HSM передает строку пароля системным функциям библиотеки C без надлежащей проверки и очистки входных данных. Уязвимый код выглядит так:
// Vulnerable code in HSM initialization procedure
void hsm_initialize(const char* password) {
ec_secret master_key; // HSM private key
char temp_buffer[256];
strcpy(temp_buffer, password); // VULNERABILITY: buffer overflow + shell interpretation
derive_key_from_password(master_key, password); // creates copies of key
// If initialization fails, memory is not cleared!
// master_key remains in the stack, its copies—in heap
}
Критическое последствие: Процесс инициализации остается в памяти с частично скомпрометированными криптографическими структурами, создавая множество «фантомных» копий мастер-ключа HSM в стеке и куче. Хотя HSM может не инициализироваться правильно, память процесса содержит криптографические артефакты, доступные для криминалистического анализа.
Официальная классификация:
