Las vulnerabilidades Dell Broadcom detectadas por Cisco Talos ponen en riesgo a decenas de millones de portátiles Dell equipados con chips Broadcom. Estas deficiencias de seguridad afectan al firmware y a las APIs asociadas a Dell ControlVault, un componente responsable de gestionar credenciales, datos biométricos y funciones de autenticación en más de 100 modelos de la serie Latitude y Precision. Los fallos podrían permitir a un atacante reducir privilegios, ejecutar código malicioso de forma persistente o incluso eludir por completo los mecanismos de autenticación, como el lector de huellas dactilares.
Descubrimiento y alcance de las vulnerabilidades Dell Broadcom
En su informe técnico, Cisco Talos identificó cinco fallos distintos en el firmware de ControlVault3 y ControlVault3+, así como en sus APIs para Windows. Se trata de dos vulnerabilidades por desbordamiento de búfer (CVE-2025-24311 y CVE-2025-25050), un error de liberación de memoria arbitraria (CVE-2025-25215), un desbordamiento de pila (CVE-2025-24922) y un fallo de deserialización insegura (CVE-2025-24919) . Estas debilidades carecen de mitigaciones de seguridad habituales en firmware y, al combinarse, facilitan ataques tanto remotos (desde el sistema operativo) como locales (con acceso físico al dispositivo).
Según el aviso de Dell (DSA-2025-053), el número total de modelos afectados supera el centenar, abarcando desde ediciones corporativas de la serie Latitude hasta variantes Rugged diseñadas para entornos de alta exigencia . La implantación de ControlVault en el hardware está orientada a asegurar la integridad de las credenciales y plantillas biométricas, pero la presencia de estos errores convierte a dicho subsistema en una posible puerta de entrada para actores maliciosos.
Modelos afectados y magnitud del riesgo
La lista de equipos con ControlVault3 o ControlVault3+ incluye principalmente portátiles Dell Latitude 3000, 5000, 7000 y Precision de gama media y alta. Además, varios ultrarresistentes de la familia Rugged cuentan con este módulo, utilizado en sectores como la administración pública, la banca y operaciones críticas donde el inicio de sesión mediante huella o tarjeta inteligente es habitual.
Dell estima que las unidades en circulación superan los veinticinco millones en todo el mundo, con una concentración notable en empresas de tecnología y servicios financieros. Dado que los puertos USB internos del módulo USH (Unified Security Hub) permiten la comunicación directa con el firmware, un atacante con acceso al interior del chasis dispondría de un canal adicional para lanzar ataques sin necesidad de contar con credenciales previas.
Escenarios de explotación
Persistencia tras compromiso del sistema
Una vez comprometido el sistema operativo, un usuario sin privilegios administrativos puede invocar las APIs de ControlVault para provocar ejecución de código arbitrario en el firmware . A partir de ahí, es posible extraer claves criptográficas y reescribir el propio firmware, instalando un implante que sobreviva a reinstalaciones de Windows o formateos del disco. Cisco Talos demostró cómo el ataque de deserialización insegura habilita la carga de binarios no firmados, lo que desemboca en la modificación permanente del subsistema de seguridad.
Acceso físico y omisión de autenticación
Con acceso al interior del chasis —por ejemplo, retirando la cubierta trasera— un atacante puede conectar directamente al puerto USB del USH y explotar las vulnerabilidades de desbordamiento y liberación de memoria. Este método no requiere conocer la contraseña de arranque ni superar el cifrado de disco completo. Además, al alterar el firmware, se puede forzar al lector de huellas a reconocer cualquier huella como válida, lo que anula por completo la autenticación biométrica .
Medidas de mitigación recomendadas
Cisco Talos y Dell han publicado varias recomendaciones para reducir el riesgo:
- Actualización de firmware. Instalar la versión más reciente de ControlVault, disponible primero en el sitio web de Dell y desplegada posteriormente vía Windows Update.
- Desactivación de servicios. Si no se utilizan lectores biométricos, tarjetas inteligentes o NFC, se aconseja detener los servicios relacionados (Windows Biometric Service y Credential Vault) y deshabilitar el dispositivo USH desde el Administrador de dispositivos.
- Revisión de opciones de inicio de sesión. Valorar la desactivación temporal del inicio por huella cuando el portátil esté desatendido o en entornos de riesgo elevado. Habilitar Enhanced Sign-in Security (ESS) en Windows para reforzar la detección de firmware no autorizado.
Estas acciones no sustituyen la instalación de parches, sino que funcionan como capas adicionales de defensa mientras se despliegan las actualizaciones oficiales.
Monitorización y detección de incidentes
Para identificar posibles compromisos, se sugiere:
- Detección de intrusión en el chasis. Habilitar la alerta de apertura del equipo desde la BIOS, de modo que cualquier manipulación física genere un aviso al reiniciar.
- Análisis de registros. Vigilar eventos de error o caídas inesperadas de los servicios de Biometría y Credential Vault en el Visor de sucesos de Windows.
- Uso de herramientas de seguridad. En clientes de Cisco Secure Endpoint, la firma “bcmbipdll.dll Loaded by Abnormal Process” puede señalar actividades anómalas relacionadas con ControlVault.
Consideraciones finales sobre seguridad de firmware
El descubrimiento de estos fallos subraya la necesidad de evaluar de forma exhaustiva todos los componentes de hardware que participan en el proceso de arranque y autenticación. No basta con proteger el sistema operativo: el firmware de elementos como ControlVault desempeña un papel clave en la salvaguarda de credenciales y datos biométricos. La aplicación diligente de parches, junto con medidas de detección y segmentación de servicios, resulta fundamental para mitigar la amenaza que representan las vulnerabilidades Dell Broadcom en entornos corporativos.
