数十款联想笔记本发现多个高微漏洞

IT 巨头联想发布了安全修复程序，以解决影响 70 多种产品型号UEFI 固件的三个漏洞。这些漏洞可以使攻击者能够在受影响的设备上部署和执行固件植入。

据悉，这三个漏洞由安全软件公司ESET的分析师发现，并已经将其报告给了联想。根据联想的披露，这三个中等严重级别的漏洞分别为CVE-2022-1890、CVE-2022-1891 和 CVE-2022-1892。以下是供应商报告的联想笔记本 BIOS 中的漏洞列表：

【CVE-2022-1890】：在一些联想笔记本产品的 ReadyBootDxe 驱动程序中发现缓冲区溢出，这可能允许具有本地权限的攻击者执行任意代码。

【CVE-2022-1891】：在一些联想笔记本产品的 SystemLoadDefaultDxe 驱动程序中发现缓冲区溢出，这可能允许具有本地权限的攻击者执行任意代码。

【CVE-2022-1892】：在一些联想笔记本产品的 SystemBootManagerDxe 驱动程序中发现缓冲区溢出，这可能允许具有本地权限的攻击者执行任意代码。

SystemLoadDefaultDxe驱动被用于Yoga、IdeaPad、Flex、ThinkBook、V14、V15、V130、Slim、S145、S540 和 S940 等70多款电脑型号。

ESET的分析师表示，这些漏洞是由于传递给 UEFI 运行时服务函数 GetVariable 的 DataSize 参数验证不充分引起，攻击者可以创建一个特制的 NVRAM 变量，导致第二个 GetVariable 调用中数据缓冲区的缓冲区溢出。

利用UEFI 固件漏洞的攻击非常危险，能让攻击者在操作系统刚启动时运行恶意软件，甚至在 Windows 内置安全保护被激活之前，从而绕过或禁用操作系统级别的安全保护、逃避检测，并且即使在磁盘格式化后仍然存在。对于一些经验丰富的攻击者，能够利用这些漏洞执行任意代码，对设备系统产生难以预估的影响。

为了解决这一风险，官方建议受影响设备的用户通过官网下载适用于其产品的最新驱动程序版本。

及时掌握网络安全态势尽在傻蛋网络安全监测系统

本文来源:互联网

如涉及侵权，请及时与我们联系，我们会在第一时间删除或处理侵权内容。
电话：400-869-9193 负责人：张明