Lenovo vydalo záplaty pro několik bezpečnostních zranitelností. Podle informací, které výrobce uvedl na svých webových stránkách podpory, se problémy týkají chyb souvisejících s přetečením vyrovnávací paměti. Tyto chyby jsou označené kódy CVE-2022-1890, CVE-2022-1891 a CVE-2022-1892, a týkají se firmwaru UEFI.
Zneužitím chyby mohou hackeři na napadeném počítači spustit škodlivý kód velmi brzy po startu systému, a to ještě předtím, než Windows aktivují své bezpečnostní prvky. Útočníkům to umožňuje převzít kontrolu nad systémem oběti.
.jpg)
| Zdroj: Twitter/ESET research (@ESETresearch)
Doporučujeme rychlou aktualizaci: Lenovo řeší nedostatky v zabezpečení
Chyby vyplývají z nedostatečné validace proměnné NVRAM s názvem "DataSize" ve třech různých ovladačích ReadyBootDxe, SystemLoadDefaultDxe a SystemBootManagerDxe, což vede k přetečení bufferu, které lze využít ke spuštění kódu.
Od začátku roku je to již podruhé, co společnost Lenovo přistoupila k řešení bezpečnostních chyb UEFI. V dubnu Lenovo vyřešil tři chyby (CVE-2021-3970, CVE-2021-3971 a CVE-2021-3972), které mohly být zneužity k nasazení a spuštění firmwarových implantátů. V obou případech, jak lednovém, tak i červencovém, je objevil Martin Smolár z Esetu.
video