中国计算机制造商联想已发布安全公告,警告多个严重程度较高的 BIOS 漏洞,这些漏洞影响各种型号(Desktop、All in One、IdeaCentre、Legion、ThinkCentre、ThinkPad、ThinkAgile、ThinkStation、ThinkSystem)的数百台设备。
利用这些漏洞可能会导致信息泄露、特权升级、拒绝服务,并且在某些情况下会导致任意代码执行。
联想安全公告中的漏洞如下:
- CVE-2021-28216:修复了 TianoCore EDK II BIOS(UEFI 的参考实现)中的指针缺陷,允许攻击者提升权限并执行任意代码。
- CVE-2022-40134:SMI Set Bios Password SMI 处理程序中的信息泄漏漏洞,允许攻击者读取 SMM 内存。
- CVE-2022-40135:智能 USB 保护 SMI 处理程序中的信息泄漏漏洞,允许攻击者读取 SMM 内存。
- CVE-2022-40136:SMI 处理程序中的信息泄漏漏洞,用于通过 WMI 配置平台设置,使攻击者能够读取 SMM 内存。
- CVE-2022-40137:WMI SMI 处理程序中的缓冲区溢出,使攻击者能够执行任意代码。
- American Megatrends 安全增强(无 CVE)。
SMM (Ring -2) 是 UEFI 固件的一部分,它提供系统范围的功能,如低级硬件控制和电源管理。
对 SMM 的访问可以扩展到操作系统和 RAM 以及存储资源;这就是为什么 AMD 和 Intel 都开发了SMM 隔离机制来保护用户数据免受低级威胁的影响。
整治
联想已修复受影响产品的最新 BIOS 更新中的问题。自 2022 年 7 月和 8 月发布以来,大多数发布的补丁都可用。
预计将在 9 月底和 10 月底之前发布更多补丁,而一小部分型号将在明年收到更新。
安全公告中包含受影响的计算机型号和解决每个漏洞的 BIOS 固件版本的完整列表,以及每个型号的下载门户的链接。
或者,联想电脑所有者可以导航到“驱动程序和软件”门户,按名称搜索他们的产品,选择“手动更新”,然后下载最新的可用 BIOS 固件版本。