联想UEFI固件新漏洞影响数百万台笔记本电脑

已发现三个影响较大的统一可扩展固件接口（UEFI）安全漏洞，这些漏洞会影响各种联想消费者笔记本电脑型号，使恶意行为者能够在受影响的设备上部署和执行固件植入。

ESET研究人员Martin Smolár在今天发布的一份报告中表示，CVE-2021-3970、CVE-2021-3971和CVE-2021-3972这三个版本“影响原本只在联想消费笔记本制造过程中使用的固件驱动程序”。

Smolár补充道：“不幸的是，它们也被错误地包括在生产BIOS映像中，没有被正确停用。”。

成功利用这些漏洞可使攻击者禁用SPI闪存保护或安全引导，从而有效地使对手能够安装能够在系统重新启动后存活的持久性恶意软件。

另一方面，CVE-2021-3970涉及公司系统管理模式（SMM）中的内存损坏案例，导致以最高权限执行恶意代码。

这三个缺陷于2021 10月11日向PC制造商报告，随后于2022年4月12日发布补丁。联想描述的三个缺陷总结如下-

• CVE-2021-3970–；由于某些联想笔记本电脑型号中的验证不足，LenovoVersionable SMI处理程序中存在一个潜在漏洞，该漏洞可能允许具有本地访问权限和提升权限的攻击者执行任意代码。
• CVE-2021-3971–；某些消费类联想笔记本电脑设备在较旧的制造过程中使用的驱动程序可能存在漏洞，该漏洞被错误地包含在BIOS映像中，使得具有提升权限的攻击者可以通过修改NVRAM变量来修改固件保护区。
• CVE-2021-3972–；某些消费类联想笔记本电脑设备在制造过程中使用的驱动程序存在一个潜在漏洞，该漏洞被误认为未被停用，从而使具有提升权限的攻击者能够通过修改NVRAM变量来修改安全引导设置。

影响联想Flex的弱点；IdeaPads；军团V14、V15、V17系列；此外，自今年年初以来，Insyde Software旗下的InsydeH2O、HP UEFI和Dell都披露了多达50个固件漏洞。

Smolár说：“UEFI的威胁可能极其隐蔽和危险。”。“它们在引导过程的早期执行，然后再将控制权转移到操作系统，这意味着它们可以绕过堆栈中可能阻止其操作系统有效负载执行的几乎所有安全措施和缓解措施。”

来源：真相之一一个

原文链接：https://www.hake.cc/page/article/4403.html