Se ha descubierto una vulnerabilidad crítica (CVE-2026-40639) en la forma en que Dell almacena las contraseñas de administrador y usuario de la BIOS. Debido al uso de un esquema de cifrado XOR defectuoso en lugar de un hash criptográfico adecuado, es posible recuperar completamente las contraseñas a partir de un volcado de flash en cuestión de milisegundos, sin necesidad de recurrir a la fuerza bruta.

Un fallo crítico en la forma en que Dell almacena las contraseñas de administrador y de usuario de la BIOS permite la recuperación completa de la contraseña a partir de un volcado de flash en milisegundos, sin necesidad de recurrir a la fuerza bruta.

La vulnerabilidad, identificada como CVE-2026-40639 (DSA-2026-197), se deriva de un esquema de cifrado XOR defectuoso en lugar de un hash criptográfico adecuado.

Dell almacena las contraseñas de la BIOS en la región DVAR (Variable de Dell) del chip flash SPI, cifradas mediante una clave XOR repetitiva de 20 bytes aplicada a un campo de 32 bytes. El primer carácter de la contraseña se almacena completamente sin cifrar.

Para cualquier contraseña de 12 caracteres o menos, la parte final del campo de 32 bytes (rellenada con nulos y no utilizada) termina cifrada con XOR contra cero, lo que simplemente revela los bytes reales de la clave. Dado que la clave es de solo 20 bytes pero el campo es de 32, este desajuste filtra toda la clave directamente desde el registro, permitiendo que los atacantes recuperen la contraseña al instante.

Las contraseñas más largas dejan una pequeña zona ciega, pero los investigadores encontraron una solución: la derivación de claves de Dell utiliza únicamente una semilla fija por dispositivo, un GUID y el único primer carácter sin cifrar de la contraseña.

El fallo de la BIOS de Dell permite la recuperación de contraseñas

Esto significa que solo hay 256 claves posibles por dispositivo. Dado que los registros DVAR antiguos o "eliminados" no se borran de forma segura, un atacante a menudo puede recuperar una contraseña corta anterior, extraer su clave y aplicarla a una contraseña actual más larga que comparta la misma primera letra.

El fallo fue descubierto por los investigadores Craig S. Blackie (MDSec) y Darren McDonald (AmberWolf), mientras analizaban el firmware UEFI de Dell en busca de vulnerabilidades de DMA pre-arranque no relacionadas.

Afecta al controlador SMM SystemPwSmm utilizado ampliamente en las plataformas cliente de Dell, confirmado en los modelos Latitude E7250, Latitude 7490, XPS 15 9560 y, notablemente, en el cliente ligero Wyse 5070 de generación actual y con soporte, que sigue sin parchear.

Modelos más recientes como el OptiPlex 3000 utilizan una bóveda SIVB basada en SHA-256 adecuada y no son vulnerables, lo que demuestra que Dell tiene una solución disponible pero no la ha implementado en todas partes.

Dado que las contraseñas de la BIOS suelen controlar el Arranque Seguro (Secure Boot), el orden de arranque y las protecciones de DMA pre-arranque, recuperarlas puede abrir la puerta para eludir el cifrado de disco completo, especialmente donde las políticas de TPM no miden cada ajuste relevante.

El ataque requiere acceso físico al chip flash mediante un clip y un programador, o arrancar un sistema operativo controlado por el atacante, pero no requiere autenticación ni interacción del usuario.

Los investigadores revelaron el problema a Dell de forma privada en marzo de 2026. Dell validó los hallazgos y emitió la DSA-2026-197 el 9 de junio de 2026, parcheando un lote inicial de plataformas (líneas Edge Gateway, Embedded PC, Precision y Rugged Latitude), con correcciones adicionales previstas para finales de julio de 2026. Cabe destacar que el aviso aún no cubre el Wyse 5070 ni varios otros dispositivos confirmados como vulnerables.

Los investigadores y Dell difieren ligeramente en la puntuación CVSS: Dell la califica con un 5.7, mientras que los investigadores argumentan que debería ser de 6.1, basándose en visiones distintas sobre la Complejidad del Ataque.

Los investigadores recomiendan que Dell pase a un hashing de contraseñas iterado y salado en todas las plataformas y que borre de forma segura los registros DVAR históricos, mientras aconsejan a los defensores no confiar únicamente en las contraseñas de la BIOS para proteger las cadenas de arranque cifradas.

Fuentes:
https://cybersecuritynews.com/dell-bios-flaw-admin-passwords/