Новые уязвимости в UEFI актуальны для 70 моделей ноутбуков Lenovo

Новые уязвимости в UEFI актуальны для 70 моделей ноутбуков Lenovo

Новые уязвимости в UEFI актуальны для 70 моделей ноутбуков Lenovo

Компания Lenovo выпустила обновления прошивки для ноутбуков, устранив три уязвимости в BIOS/UEFI. Степень опасности во всех случаях оценена как умеренная, однако эксплойт потенциально позволяет выполнить в системе вредоносный код.

Проблемам присвоены идентификаторы CVE-2022-1890, CVE-2022-1891, CVE-2022-1892. Согласно бюллетеню, все они связаны с ошибкой переполнения буфера, относятся к классу «повышение привилегий» и выявлены в разных драйверах — ReadyBootDxe, SystemLoadDefaultDxe и SystemBootManagerDxe. Эксплойт возможен при наличии локального доступа и позволяет выполнить произвольный код.

Все три бага обнаружил Мартин Смолар (Martin Smolár) из ESET; в Твиттере он уточнил, что выполнить сторонний код можно на ранних этапах загрузки ОС. Автор атаки также сможет угнать поток исполнения и отключить некоторые защитные функции.

Причиной появления уязвимостей является неадекватная проверка параметра DataSize, передаваемого при вызове функции GetVariable runtime-службы UEFI. Переполнение буфера можно спровоцировать с помощью специально созданной переменной NVRAM.

Список затронутых продуктов Lenovo внушителен (см. бюллетень) — более 70 моделей ноутбуков, в том числе представители семейств ThinkBook, IdeaPads, Legion, Flex и Yoga. Пользователям настоятельно рекомендуется обновить прошивки.

В этом году Lenovo латает UEFI уже второй раз. В апреле вендор устранил уязвимости CVE-2021-3970, CVE-2021-3971 и CVE-2021-3972 — три возможности повышения привилегий, тоже найденных Смоларом.

Суд признал банкротом российскую дочку Microsoft

Арбитражный суд Москвы признал банкротом российскую дочку Microsoft — ООО «Майкрософт Рус» — и открыл конкурсное производство. Это финальная стадия процедуры банкротства, которая фактически означает распродажу активов для расчётов с кредиторами.

Процесс начался ещё в сентябре 2025 года, тогда компания сама подала заявление о банкротстве.

Как сообщал её представитель в суде, на тот момент неисполненные обязательства превышали 1,5 млрд рублей. Конкурсным управляющим назначен Андрей Соломонов из ассоциации «Достояние».

Причины ситуации довольно ожидаемы. После 2022 года Microsoft приостановила продажи продуктов и услуг в России. При этом «Майкрософт Рус» какое-то время продолжала оказывать техническую поддержку.

Но со временем клиентов практически не осталось: к 2025 году у компании был всего один заказчик, который тоже прекратил сотрудничество. В итоге бизнес перестал приносить доход, и компания сама запустила процедуру банкротства.

Интересно, что ещё по отчётности за 2024 год в Microsoft подчёркивали: вопрос о ликвидации российской дочки не рассматривается. Однако на практике компания фактически уже не вела полноценной деятельности.

Общая картина по Microsoft в России тоже выглядит сдержанно. По данным ФНС, выручка четырёх российских дочек корпорации в 2025 году снизилась почти на треть — на 29,5%, до 117,3 млн рублей. Для сравнения: годом ранее она составляла 166,5 млн рублей.

Больше всего дохода в 2025 году принесла структура «Майкрософт пейментс рус» — около 70,4 млн рублей. При этом в апреле 2025 года компания привлекла займ на 300 млн рублей у ирландской «дочки» Microsoft Global Finance ULC под 2,5% годовых.

Таким образом, история «Майкрософт Рус» подошла к логическому завершению: после сворачивания бизнеса и ухода ключевых клиентов компания не смогла продолжать работу и перешла в стадию банкротства.

RSS: Новости на портале Anti-Malware.ru