A Lenovo terméktámogatási részlege három sebezhetőségre hívta fel a figyelmet, amelyek száznál is több Lenovo notebook modellt érintenek. A probléma az, hogy mind a három sebezhetőségen keresztül emelt jogkörhöz juthat a felkészült támadó – az egyiknél helyi jelenlétre van szükség, a másik kettőnél viszont nincs ilyen említés. A vállalat fejlesztőcsapata mindent megtett annak érdekében, hogy a sebezhetőségeket mielőbb javítsák, ennek eredményeként több modellhez is elérhető már a szükséges frissítés, amelyekhez pedig jelenleg még nem, azokhoz már szintén úton van.
A sebezhetőségeket elsőként az ESET csapata vette észre, így természetesen haladéktalanul értesítették is a vállalatot annak érdekében, hogy minél hamarabb befoltozhassák a réseket. A CVE-2021-3970-es bejegyzés alatt futó sérülékenységen keresztül lehetőség nyílik az SMRAM (System Management Mode hardveresen védett memória) tartalmának írására és olvasására, ami lehetősége biztosít kártékony kódok futtatására, mindezt pedig magas jogkör mellett teheti a támadó.
A másik két sebezhetőség, vagyis a CVE-2021-3971-es és a CVE-2021-3972-es már figyelmetlenségből fakad, ugyanis a fejlesztők olyan komponenseket hagytak az UEFI Firmware-ben, amelyek csak a gyártási szakaszban, a fejlesztők számára érhetőek el, ám a bennük rejlő lehetőségeket a felkészült támadók is kiaknázhatják. Ezeknek köszönhetően van mód arra, hogy a támadó kikapcsolja az UEFI Flash memória védelmeit, valamint akár az UEFI Secure Boot funkciót is deaktiválhatja. Szélsőséges esetben akár malware telepítésére is lehetőség van, amit nagyon nehéz észrevenni és kiírtani, ugyanis még az operációs rendszer indulása előtt betöltődik.
A szóban forgó sebezhetőségeket még tavaly októberben fedezték fel az ESET szakemberei, majd a Lenovo november folyamán CVE kódokat is társított hozzájuk, azóta pedig javában tart a frissítések elkészítése is. Az érintett noteszgépek többségéhez készül javítás, ám olyanok is szerepelnek a listán, amelyek már igen régiek, így nem jár hozzájuk semmiféle terméktámogatás, frissítést sem kapnak majd.
Az érintett Lenovo notebookok pontos listája itt olvasható.
