A Clevo acidentalmente expôs chaves privadas usadas em sua implementação do Intel Boot Guard, permitindo que invasores assinassem firmware malicioso que seria confiável durante os primeiros estágios de inicialização.
O problema é rastreado como Nota de Vulnerabilidade VU#538470 e foi publicado em 13 de outubro de 2025.
Os pesquisadores alertam que esse vazamento pode permitir comprometimento furtivo e persistente em sistemas que usam o firmware da Clevo, incluindo dispositivos de outras marcas que integram os componentes da plataforma da Clevo.
O que aconteceu e por que é importante
O Intel Boot Guard protege a primeira etapa da inicialização de um computador, verificando o bloco de inicialização inicial antes mesmo de o UEFI ser inicializado.
Ele garante apenas autenticados firmware é executado no primeiro estágio de pré-inicialização. O pacote de atualização UEFI da Clevo continha por engano chaves de assinatura privadas vinculadas a esta cadeia de confiança.
Com essas chaves, um invasor que consiga gravar no flash do sistema poderá assinar uma imagem de firmware adulterada para que a plataforma a trate como legítima e a inicialize sem alarme.
Isso é diferente do UEFI Secure Boot, que funciona posteriormente no processo para validar os componentes UEFI e a transferência do sistema operacional.
Como o Boot Guard está na raiz da confiança, contorná-lo prejudica toda a cadeia de segurança da plataforma.
A Clevo constrói firmware e hardware como ODM e OEM, alimentando muitos modelos de laptop vendidos sob várias marcas.
Isso significa que a exposição pode se estender além dos dispositivos da marca Clevo até a cadeia de abastecimento. A lista de fornecedores da CERT mostra vários participantes principais do ecossistema relatados como não afetados, incluindo GoogleIntel, Insyde, Phoenix Technologies e a equipe de resposta de segurança da UEFI.
Muitos outros fornecedores estão atualmente listados como desconhecidos, incluindo Acer, ADATA, Amazon, AMI e ASUS, aguardando clareza sobre se seus produtos incorporam o firmware Clevo afetado.
Um invasor precisa de uma maneira de gravar no flash SPI do sistema ou no armazenamento de firmware. Isso pode vir de acesso físico, de uma ferramenta de atualização privilegiada mal-intencionada ou abusada ou de um agente de gerenciamento comprometido.
Com as chaves vazadas, o invasor pode assinar uma imagem de firmware modificada que passará na verificação do Boot Guard.
Uma vez instalado, esse firmware pode persistir durante as reinstalações do sistema operacional, ocultar-se de ferramentas de endpoint, interceptar credenciais, desativar recursos de segurança e implantar implantes de inicialização antecipada.
Como a confiança está ancorada no Boot Guard, uma assinatura forjada nesta camada pode tornar as defesas posteriores ineficazes.
Clevo tem supostamente removeu o software que contém as chaves vazadas, mas ainda não há etapas públicas de correção do fornecedor.
Proprietários e operadores de sistemas baseados em Clevo devem inventariar modelos e versões de firmware afetados, confirmar se a implementação do Boot Guard do Clevo está presente e monitorar alterações inesperadas de firmware.
Aplique atualizações somente de fontes verificadas e confiáveis e considere ativar ou reforçar as proteções contra gravação de firmware sempre que possível.
Os defensores corporativos devem expandir o monitoramento de integridade para incluir linhas de base de firmware, eventos de gravação flash SPI e atividades de atualização atípicas. Se houver suspeita de comprometimento, planeje um processo de reflash confiável que inclua o restabelecimento da raiz de confiança da plataforma.
O problema foi divulgado de forma responsável pela Equipe de Pesquisa Binarly, com relatório inicial de Thierry Laurion. A Nota de Vulnerabilidade do CERT fornece rastreamento do status do fornecedor e referências técnicas para defensores e parceiros OEM afetados.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial em Google.