联想设备曝 6 个安全漏洞，允许部署持久性植入程序

HackerNews 编译，转载请注明出处：

固件安全与供应链风险管理公司 Binarly 周二报告称，联想设备受到多个漏洞影响，其中一些漏洞可能允许攻击者在目标系统上部署持久性植入程序。

Binarly 在联想一体台式机中发现了总共六个漏洞，具体存在于系统管理模式（SMM）中，这是一种用于低级系统管理的操作模式。

由于 SMM 在操作系统加载之前启动，并且在重新安装系统后仍然存在，因此对于试图绕过安全启动（旨在确保启动时仅加载可信软件的安全功能）并部署隐蔽恶意软件的威胁行为者来说，它可能是一个理想目标。

这些漏洞已被分配 CVE 标识符，从 CVE-2025-4421 到 CVE-2025-4426。其中四个被评为 “高严重性”，其余则被归类为 “中严重性”。

高严重性漏洞属于内存损坏问题，可能导致在 SMM 中发生权限提升和任意代码执行。中严重性漏洞可能导致信息泄露和安全机制被绕过。

能够接触到目标联想设备的威胁行为者可利用这些漏洞绕过 SPI 闪存保护措施和安全启动，部署能在操作系统重新安装后仍然存在的植入程序，甚至破坏虚拟机监控程序隔离。

Binarly 于 4 月向联想报告了这些漏洞，厂商在 6 月确认了相关发现。目前，联想已提供补丁和缓解措施。

联想和 Binarly 均将于周二发布描述这些漏洞的安全公告。

消息来源：securityweek；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文