Компания Lenovo выпустила обновления прошивки для своих ноутбуков, чтобы владельцы могли закрыть три уязвимости, позволяющие проводить атаки на UEFI. Новые проблемы обнаружил исследователь из ESET; пользователям рекомендуется как можно скорее применить предлагаемую защиту.
Все найденные уязвимости классифицируются как повышение привилегий. Степень опасности в Lenovo оценили как умеренную, однако последствия эксплойта могут быть очень серьезными — выполнение любого стороннего кода, изменение настроек UEFI, внедрение цепких имплантов вроде LoJax или ESPecter.
Уязвимость CVE-2021-3970 проявляется как нарушение целостности памяти при обработке SMI-прерываний (работе процессора в режиме SMM); причина ее возникновения — неадекватная проверка входных данных. Такая возможность позволяет локально получить доступ на чтение/запись к SMRAM; в случае атаки это грозит выполнением вредоносного кода с SMM-привилегиями, то есть незаметно для ОС.
Проблемы CVE-2021-3971 и CVE-2021-3972 связаны с наличием бэкдоров. Как оказалось, в предустановленные образы BIOS по ошибке попали драйверы SecureBackDoor и SecureBackDoorPeim, которые используются только на стадии производства ноутбуков. В итоге злоумышленник с достаточным набором прав может их активировать, чтобы отключить защиту флеш-памяти SPI или механизм UEFI Secure Boot (через изменение переменной NVRAM) и внедрить зловреда в SPI-хранилище либо системный раздел EFI.
Наличие уязвимостей подтверждено для десятков моделей ноутбуков Lenovo, в том числе продуктов линеек IdeaPads, Legion, Flex и Yoga (полный список приведен в бюллетене производителя). По оценке ESET, срочное обновление прошивок актуально для миллионов пользователей по всему миру. Владельцам устройств, снятых с поддержки, придется довольствоваться альтернативными методами защиты — эксперты рекомендуют выполнить полное шифрование дисков с поддержкой TPM, воспользовавшись специализированным софтом.
