Vulnerabilidade em motherboards permite ataques prévios ao arranque do sistema

As motherboards dos principais fabricantes ASRock, Asus, Gigabyte e MSI são afetadas por uma vulnerabilidade que permite a realização de ataques durante a fase inicial de arranque do sistema, comprometendo a integridade do processo.

De acordo com a SecurityWeek, o problema permite a um atacante, com acesso físico ao dispositivo, ligar um dispositivo PCI Express malicioso e aceder a dados na memória, bem como realizar injeção de código antes do carregamento do sistema operativo, contornando assim as defesas do sistema.

A vulnerabilidade relaciona-se com uma falha na configuração do Input-Output Memory Management Unit (IOMMU) presente na implementação do UEFI, que deveria proteger contra acessos maliciosos de memória via dispositivos periféricos. Embora o firmware indique que as proteções de acesso direto à memória (DMA) estão ativas desde o início, na verdade o IOMMU apenas é correctamente configurado imediatamente antes da transferência de controlo ao sistema operativo.

Esta configuração incorrecta permite que os dispositivos PCIe maliciosos explorem o sistema durante a sequência de arranque. A exploração da vulnerabilidade exige acesso físico e não pode ser realizada remotamente.

A CERT/CC alerta para a importância de aplicar rapidamente os patches disponibilizados e de respeitar as melhores práticas de segurança de hardware, especialmente em ambientes onde o controlo do acesso físico é limitado. Esta falha é particularmente crítica em ambientes virtualizados e cloud, onde o isolamento e a delegação de confiança dependem da correcta configuração do firmware.

ASRock, Asus, Gigabyte e MSI confirmaram a existência da vulnerabilidade em alguns dos seus modelos de motherboards, tendo já emitido alertas e disponibilizado atualizações de firmware para mitigar o problema.

Produtos de outros fornecedores, incluindo AMD, AMI, Insyde, Intel, Phoenix Technologies e Supermicro, não estão afetados, embora mais de uma dezena mantenha estado “desconhecido” relativamente à ocorrência da falha.

Os identificadores CVE atribuídos à vulnerabilidade são CVE-2025-11901, CVE-2025-14302, CVE-2025-14303 e CVE-2025-14304.

Esta vulnerabilidade foi revelada de forma responsável por investigadores da Riot Games, reafirmando a importância da colaboração entre a indústria e a comunidade de segurança para a identificação e correção de falhas.