【缝隙公告】Lenovo Notebook BIOS多个安全缝隙

颁布功夫 2022-04-20

0x00 缝隙概述

2022年4月19日，Lenovo（遐想）颁布安全布告，建复了3个影响上百款遐想笔记本电脑型号的 UEFI 固件缝隙。

 

0x01 缝隙详情

这3个缝隙都存在于Lenovo Notebook BIOS中。其中CVE-2021-3971和CVE-2021-3972影响了 UEFI 固件驱动法式，CVE-2021-3970允许对 SMRAM 进行肆意读/写，这可能导致使用 SMM 权限执行恶意代码。详情如下：

CVE-2021-3970：SMM 肆意读/写

在某些遐想笔记本型号中，由于验证不及，LenovoVariable SMI处置法式存在安全问题，可在拥有本地接见权限（和提升到更高权限）的情况下执行肆意代码。

CVE-2021-3971：禁用 SPI 闪存�；�

在某些遐想笔记本设备上，存在安全问题的旧的UEFI 固件驱动法式被谬误地蕴含在出产 BIOS 映像中而没有被正确停用。这些受影响的固件驱动法式能够被激活，以在系统运行时从特权用户模式过程直接禁用 SPI 闪存�；ぃ˙IOS 节造寄放器位和受�；ち煊蚣姆牌鳎�。

CVE-2021-3972：禁用 UEFI 安全启动

在某些遐想笔记本设备上，存在安全问题的旧的UEFI 固件驱动法式被谬误地蕴含在出产 BIOS 映像中而没有被正确停用。这些受影响的固件驱动法式能够被激活，以在系统运行时从特权用户模式过程直接禁用UEFI 安全疏导职能。

 

影响领域

IdeaPad、Legion、Flex 和 Yoga等上百款型号

 

0x02 措置建议

目前遐想已经颁布BIOS 更新，用户能够更新。

具体型号及其BIOS 更新可参考遐想官方布告：

https://support.lenovo.com/us/en/product_security/LEN-73440#Lenovo%20Notebook

 

0x03 参考链接

https://support.lenovo.com/us/en/product_security/LEN-73440#Lenovo%20Notebook

https://www.welivesecurity.com/2022/04/19/when-secure-isnt-secure-uefi-vulnerabilities-lenovo-consumer-laptops/

https://www.bleepingcomputer.com/news/security/lenovo-uefi-firmware-driver-bugs-affect-over-100-laptop-models/

 

0x04 更新版本

版本

日期

批改内容

V1.0

2022-04-20

初次颁布

 

0x05 附录

GA黄金甲简介

GA黄金甲公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商。

公司总部位于北京市中关村软件园，在全国各省、视注自治区设有分支机构，占有覆盖全国的渠路系统和技术支持中心，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。

多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。

 

关于GA黄金甲

GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。

关注以下公家号，获取全球最新安全资讯：

image.png