Κενό ασφαλείας του UEFI firmware, επηρεάζει πάνω από 70 μοντέλα laptop της Lenovo

[nnn]

Το υλικολογισμικό UEFI που χρησιμοποιείται σε αρκετούς φορητούς υπολογιστές της Lenovo είναι ευάλωτο σε τρεις ευπάθειες υπερχείλισης buffer που θα μπορούσαν να επιτρέψουν στους επιτιθέμενους να καταλάβουν τη ρουτίνα εκκίνησης των εγκαταστάσεων των Windows.

Η Lenovo εξέδωσε μια συμβουλευτική ασφαλείας που αποκαλύπτει τρεις ευπάθειες μέτριας σοβαρότητας που εντοπίζονται ως CVE-2022-1890, CVE-2022-1891 και CVE-2022-1892.

Η πρώτη είναι ένα πρόβλημα στο πρόγραμμα οδήγησης ReadyBootDxe που χρησιμοποιείται σε ορισμένα προϊόντα φορητών υπολογιστών της Lenovo, ενώ οι δύο τελευταίες είναι σφάλματα υπερχείλισης buffer στο πρόγραμμα οδήγησης SystemLoadDefaultDxe.

Αυτός ο δεύτερος οδηγός χρησιμοποιείται στις σειρές Yoga, IdeaPad, Flex, ThinkBook, V14, V15, V130, Slim, S145, S540 και S940 της Lenovo, επηρεάζοντας πάνω από 70 μεμονωμένα μοντέλα.

Για περισσότερες πληροφορίες σχετικά με τα επηρεαζόμενα μοντέλα, ανατρέξτε στον πίνακα επιπτώσεων των προϊόντων της Lenovo στο κάτω μέρος της συμβουλευτικής ασφαλείας.

Σύμφωνα με την ESET, οι αναλυτές της οποίας ανακάλυψαν τα τρία σφάλματα και τα ανέφεραν στη Lenovo, ένας εισβολέας θα μπορούσε να τα εκμεταλλευτεί για να καταλάβει τη ροή εκτέλεσης του λειτουργικού συστήματος και να απενεργοποιήσει τα χαρακτηριστικά ασφαλείας.

"Αυτές οι ευπάθειες προκλήθηκαν από την ανεπαρκή επικύρωση της παραμέτρου DataSize που περνούσε στη λειτουργία GetVariable των υπηρεσιών UEFI Runtime Services", εξηγεί η ESET Research σε ένα tweet.

"Ένας επιτιθέμενος θα μπορούσε να δημιουργήσει μια ειδικά διαμορφωμένη μεταβλητή NVRAM, προκαλώντας υπερχείλιση του buffer Data στη δεύτερη κλήση της GetVariable".

Για την αντιμετώπιση του κινδύνου ασφαλείας, συνιστάται στους χρήστες των επηρεαζόμενων συσκευών να κατεβάσουν την τελευταία διαθέσιμη έκδοση προγράμματος οδήγησης για τα προϊόντα τους, την οποία μπορείτε να βρείτε στην επίσημη πύλη λήψης λογισμικού της Lenovo.

Εάν δυσκολεύεστε να προσδιορίσετε ποιο μοντέλο χρησιμοποιείτε, η Lenovo προσφέρει έναν αυτόματο διαδικτυακό ανιχνευτή που μπορείτε να χρησιμοποιήσετε αντ' αυτού.

Translated with www.DeepL.com/Translator (free version)

Πηγή : Bleeping Computer

Lenovo Advisory

[Penguin]

Δηλαδή έβγαλε update και τα τα 70 μοντέλα; Μωρε μπράβο... Βέβαια αν τα update δεν μπαίνουν με κάποιο αυτόματο τρόπο κανείς δεν θα ασχοληθεί να τα βάλει αλλά αυτό είναι άλλο θέμα.

[Prototype]

Εφόσον είναι UEFI αν είναι Windows 10+ θα γίνει μέσω Windows Update.