Китайский техногигант Lenovo предупредил пользователей об опасных уязвимостях BIOS, затрагивающих сотни самых разных моделей: десктопы, моноблоки, IdeaCentre, Legion, ThinkCentre, ThinkPad, ThinkAgile, ThinkStation и ThinkSystem. Патчи уже готовы.
Эксплуатация выявленных брешей может привести к раскрытию информации, повышению прав, отказу в обслуживании (DoS), а в некоторых случаях даже к выполнению вредоносного кода.
Согласно официальному уведомлению производителя, уязвимости получили следующие идентификаторы:
- CVE-2021-28216 — брешь в TianoCore EDK II BIOS, позволяющая условному атакующему повысить права в системе и выполнить код;
- CVE-2022-40134 — проблема утечки информации в обработчике SMI Set Bios Password SMI, позволяющая злоумышленнику прочитать память SMM;
- CVE-2022-40135 — баг, также приводящий к утечке информации в обработчике SMI. Тоже приводит к прочтению SMM-памяти;
- CVE-2022-40137 — переполнение буфера в обработчике WMI SMI, позволяющая выполнить произвольный код.
SMM является частью UEFI-прошивки, предоставляющей контроль аппаратного обеспечения и питания на низком уровне. Lenovo выпустила обновление BIOS, в котором все вышеперечисленные проблемы устранены.
