IT 巨頭聯想發布了安全修復程序，以解決影響 70 多種產品型號UEFI 固件的三個漏洞。這些漏洞可以使攻擊者能夠在受影響的設備上部署和執行固件植入。

據悉，這三個漏洞由安全軟件公司ESET的分析師發現，并已經將其報告給了聯想。根據聯想的披露，這三個中等嚴重級別的漏洞分別為CVE-2022-1890、CVE-2022-1891 和 CVE-2022-1892。以下是供應商報告的聯想筆記本 BIOS 中的漏洞列表：

【CVE-2022-1890】：在一些聯想筆記本產品的 ReadyBootDxe 驅動程序中發現緩沖區溢出，這可能允許具有本地權限的攻擊者執行任意代碼。

【CVE-2022-1891】：在一些聯想筆記本產品的 SystemLoadDefaultDxe 驅動程序中發現緩沖區溢出，這可能允許具有本地權限的攻擊者執行任意代碼。

【CVE-2022-1892】：在一些聯想筆記本產品的 SystemBootManagerDxe 驅動程序中發現緩沖區溢出，這可能允許具有本地權限的攻擊者執行任意代碼。

SystemLoadDefaultDxe驅動被用于Yoga、IdeaPad、Flex、ThinkBook、V14、V15、V130、Slim、S145、S540 和 S940 等70多款電腦型號。

ESET的分析師表示，這些漏洞是由于傳遞給 UEFI 運行時服務函數 GetVariable 的 DataSize 參數驗證不充分引起，攻擊者可以創建一個特制的 NVRAM 變量，導致第二個 GetVariable 調用中數據緩沖區的緩沖區溢出。

利用UEFI 固件漏洞的攻擊非常危險，能讓攻擊者在操作系統剛啟動時運行惡意軟件，甚至在 Windows 內置安全保護被激活之前，從而繞過或禁用操作系統級別的安全保護、逃避檢測，并且即使在磁盤格式化后仍然存在。對于一些經驗豐富的攻擊者，能夠利用這些漏洞執行任意代碼，對設備系統產生難以預估的影響。

為了解決這一風險，官方建議受影響設備的用戶通過官網下載適用于其產品的最新驅動程序版本。

及時掌握網絡安全態勢 盡在傻蛋網絡安全監測系統

【網絡安全監管部門】免費試用

本文來源:互聯網

如涉及侵權，請及時與我們聯系，我們會在第一時間刪除或處理侵權內容。
電話：400-869-9193 負責人：張明