可用

新 UEFI 固件漏洞影响多款联想笔记本电脑

  • 浏览次数 32042
  • 喜欢 0
  • 评分 12345

Hackernews 编译,转载请注明出处:

微信截图_20220714093559

消费电子产品制造商联想周二发布了修复措施,解决了其UEFI固件中的三个安全漏洞,这些漏洞影响了70多种产品型号。

Slovak网络安全公司ESET在一系列推文中表示:“这些漏洞可以在平台启动的早期阶段实现任意代码执行,可能会让攻击者劫持操作系统执行流程,并禁用一些重要的安全功能。”

微信截图_20220714093640

CVE-2022-1890、CVE-2022-1891和CVE-2022-1892这三个漏洞都与缓冲区溢出漏洞有关,联想已将其描述为导致受影响系统上的权限提升。ESET的Martin Smolár报告了这些缺陷。

这些错误源于对三个不同的驱动程序 ReadyBootDxe、SystemLoadDefaultDxe 和 SystemBootManagerDxe 中名为“DataSize”的 NVRAM 变量的验证不足,从而导致缓冲区溢出,可以将其武器化以实现代码执行。

这是联想自今年年初以来第二次着手解决UEFI安全漏洞。今年4月,该公司解决了三个漏洞(CVE-2021-3970、CVE-2021-3971和CVE-2021-3972)——也是由Smolár发现的——可能被用来部署和执行固件植入。

强烈建议受影响设备的用户将其固件更新到最新版本,以缓解潜在威胁。

 

消息来源:TheHackerNews,译者:Shirley;
本文由 HackerNews.cc 翻译整理,封面来源于网络;
转载请注明“转自 HackerNews.cc ” 并附上原文