【安全圈】联想超70款笔记本电脑被曝新型UEFI固件漏洞

UEFI、漏洞

联想生产的70多台笔记本电脑受到三个UEFI软体缓冲溢出漏洞的影响,这些漏洞允许攻击者入侵Windows系统并执行任意代码。

据悉，三个漏洞被安全软件公司ESET的分析师发现,并且已经向联想报告了。根据联想的披露，这三个中等严重级别的漏洞分别为CVE-2022-1890、CVE-2022-1891 和 CVE-2022-1892。第一个问题是一些联想笔记本电脑产品使用的ReadyBootDxe驱动程序,后者是SystemLoadDefaultDxe驱动的缓冲溢出漏洞,该驱动器被用于70个计算机模型,包括瑜伽、IdeaPad、Flex、ThinkBook、V14、V15、V130、Slim、S145、S540和S940。

ESET的分析师说,这些漏洞是由不充分的DataSize参数验证给UEFI运行时服务函数GetVariable传递的,攻击者可以创建一个专门的NVRAM变量,在第二个GetVariable调用中造成数据缓冲的缓冲溢出。

CVE-2022-1892变量初始化

总体而言，使用UEFI硬件漏洞的攻击是非常危险的,允许攻击者在操作系统刚启动时运行恶意软件,即使在Windows内置安全被激活之前,从而回避或禁止操作系统级别的安全保护,避免检测,即使在磁盘格式化后,它仍然存在。对一些有经验的攻击者来说,可以利用这些漏洞执行任意代码,对设备系统的影响很难预测.

为了解决这一风险,官方建议用户通过网站下载其产品的最新驱动程序版本。

END

安全圈

网络热点关注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持“安全循环”并设置三个字符串!

本文由 在线网速测试 整理编辑，转载请注明出处。