联想修复影响70多种产品型号中的三个UEFI固件漏洞

本周二，联想发布安全修复程序以解决其UEFI固件中的三个安全漏洞，这些漏洞影响70多种产品型号，包括几种ThinkBook型号。

“攻击者可以利用这些漏洞在平台引导的早期阶段实现任意代码执行，攻击者能够劫持操作系统执行流并禁用一些重要的安全功能。”斯洛伐克网络安全公司ESET在推文中表示。

三个漏洞编号分别为CVE-2022-1890、CVE-2022-1891 和 CVE-2022-1892，由来自ESET的Martin Smolár报告。

这些漏洞源于对三个不同的驱动程序 ReadyBootDxe、SystemLoadDefaultDxe 和 SystemBootManagerDxe 中名为“DataSize”的 NVRAM 变量的验证不足，从而导致缓冲区溢出，并使得攻击者可以将其武器化以实现任意代码执行。

 “这些漏洞是由于对传递给UEFI运行时服务函数GetVariable的DataSize参数验证不足引起的。攻击者可以创建一个特制的 NVRAM 变量，在第二次 GetVariable 调用中导致数据缓冲区溢出。”

UEFI 固件漏洞危险程度比较高，因为它们使攻击者能够在操作系统启动过程的早期、甚至是在激活 Windows 内置安全保护之前运行恶意软件。这种早期访问级别允许恶意软件绕过或禁用操作系统级别的安全保护，逃避检测，并且即使是在磁盘格式化后仍然存在。

联想已发布其产品的最新可用驱动程序版本，建议受影响的用户尽快前往联想官网下载。受漏洞影响的产品型号也已在联想公告中列出。（https://support.lenovo.com/sk/en/product_security/len-91369）