【缝隙公告】Lenovo Notebook BIOS 11月多个安全缝隙

颁布功夫 2022-11-10


0x00 缝隙概述

11月8日，Lenovo（遐想）颁布Lenovo Notebook BIOS更新，建复了影响其多种笔记本电脑型号的多个安全缝隙，能够通过利用这些缝隙来禁用UEFI 安全启动 。

 

0x01 缝隙详情

Lenovo是一家全球驰名的ICT科技企业，也是全球智能设备的辅导厂商之一 。

Lenovo本次更新建复了ThinkBook、IdeaPad 和 Yoga 等多种笔记本电脑型号中的2个缝隙，Ideapad Y700-14ISK设备中的缝隙（CVE-2022-3432）尚未建复 。

UEFI安全启动是一种验证系统，可确保在推算机启动过程中不会加载和执行恶意代码，成功利用这些缝隙的恶意用户能够更改操作系统的安全启动设置，详情如下：

CVE-ID

影响

注明

CVE-2022-3430

禁用安全启动

某些遐想笔记本设备上的WMI设置驱动法式存在缝隙，可能导致拥有高权限的恶意用户通过批改NVRAM变量来批改安全启动设置 。

CVE-2022-3431

禁用安全启动

某些遐想笔记本设备的造作过程中使用的驱动法式存在缝隙，该驱动法式未被正确停用，被谬误地蕴含在出产中，可能导致拥有高权限的恶意用户通过批改NVRAM变量来批改安全启动设置 。

CVE-2022-3432

禁用安全启动

Ideapad Y700-14ISK设备的造作过程中使用的驱动法式存在缝隙，该驱动法式未被正确停用，被谬误地蕴含在出产中，可能导致拥有高权限的恶意用户通过批改NVRAM变量来批改安全启动设置 。

 

影响领域

ThinkBook、IdeaPad、Yoga等多种系列/型号

注：具体受影响产品型号及其BIOS固件版本信息请参考Lenovo官方布告列表：

https://support.lenovo.com/us/en/product_security/LEN-94952

 

0x02 安全建议

目前Lenovo已经针对CVE-2022-3430 和 CVE-2022-3431颁布了受影响设备的BIOS更新，Lenovo用户可参考官方布告将系统固件更新到相应建复版本（或更高版本） 。

对于CVE-2022-3432，由于Ideapad Y700-14ISK已达到性命周期，Lenovo将不再支持守护，受影响用户该当把稳防备 。

下载链接：

https://pcsupport.lenovo.com/us/en/

 

0x03 参考链接

https://support.lenovo.com/us/en/product_security/LEN-94952

https://www.bleepingcomputer.com/news/security/lenovo-fixes-flaws-that-can-be-used-to-disable-uefi-secure-boot/

 

0x04 版本信息

版本

日期

批改内容

V1.0

2022-11-10

初次颁布

 

 

0x05 附录

GA黄金甲简介

GA黄金甲成立于1996年，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业 。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一 。

公司总部位于北京市中关村软件园GA黄金甲大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人 。在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统 。公司于2010年6月23日在深圳中幼板挂牌上市 。（股票代码：002439）

多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力 。

 

关于GA黄金甲

GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报 。

关注以下公家号，获取全球最新安全资讯：

image.png