En junio pasado, el investigador Alex Matrosov publicó una vulnerabilidad de bypass del UEFI de Microsoft relacionada con CVE-2025-3052. Ahora, Nikolaj Schlej descubrió un nuevo bug en el firmware UEFI InsydeH₂O de Huawei Matebook 2023.
Vulnerabilidad Hydroph0bia (CVE-2025-4275)
El investigador identificó que el firmware permitía crear variables NVRAM volátiles con el mismo nombre y GUID que las persistentes, lo que generaba un shadowing no controlado. Esta vulnerabilidad permite usar esas variables para pasar datos arbitrarios al firmware.
CVE-2025-4275 (Hydroph0bia) afecta a firmware InsydeH2O® UEFI BIOS. El bug fue reportado responsablemente a Insyde y se parcheó en 90 días. Esta vulnerabilidad permite instalar código sin firmar durante el arranque sin modificar la key del arranque seguro.
Si un atacante con privilegios escribe un ejecutable malicioso en la EFI System Partition (ESP) y planta una variable NVRAM modificada, puede engañar al firmware para que confíe en ese binario como si viniera firmado. Insyde dejó abierto este permiso.
La vulnerabilidad podría explotarse mediante un módulo legítimo para distribuir malware bootkit persistente, incluso si se reemplaza el disco. Además, una vulnerabilidad rootkit en el sistema de arranque seguro de Windows permitiría a los atacantes eludir las comprobaciones UEFI diseñadas para prevenir la instalación de firmware no autorizado.
El impacto implica que, con privilegios de usuario, se puede dejar el payload en ESP y el malware arranca con Secure Boot. Todo mientras el sistema operativo indica «Secure Boot activado». Este es un ataque de persistencia profunda que sobrevive a reinstalaciones y revisiones de seguridad a nivel kernel.
Diferencias entre CVE-2025-3052 y Hydroph0bia
Al igual que el bug en módulos firmados de junio pasado (CVE-2025-3052), Hydroph0bia es un ataque pre-OS que se aprovecha del control de NVRAM y de la confianza del firmware. La principal diferencia es que apunta a UEFI Insyde H₂O, no solo a módulos firmados con Microsoft UEFI CA. Esto amplía la superficie de ataque.
Ambos bugs permiten bypass de Secure Boot y ejecución de payloads no firmados, pero este es más «universal» en plataformas Insyde, aprovechando shadowing de variables en vez de desbordamientos.
Recursos adicionales
- Parte 1: https://coderush.me/hydroph0bia-part1/
- Parte 2: https://coderush.me/hydroph0bia-part2/
- Github: https://github.com/NikolajSchlej/Hydroph0bia