新 UEFI 固件漏洞影响多款联想笔记本电脑

Hackernews 编译，转载请注明出处：

消费电子产品制造商联想周二发布了修复措施，解决了其UEFI固件中的三个安全漏洞，这些漏洞影响了70多种产品型号。

Slovak网络安全公司ESET在一系列推文中表示:“这些漏洞可以在平台启动的早期阶段实现任意代码执行，可能会让攻击者劫持操作系统执行流程，并禁用一些重要的安全功能。”

CVE-2022-1890、CVE-2022-1891和CVE-2022-1892这三个漏洞都与缓冲区溢出漏洞有关，联想已将其描述为导致受影响系统上的权限提升。ESET的Martin Smolár报告了这些缺陷。

这些错误源于对三个不同的驱动程序 ReadyBootDxe、SystemLoadDefaultDxe 和 SystemBootManagerDxe 中名为“DataSize”的 NVRAM 变量的验证不足，从而导致缓冲区溢出，可以将其武器化以实现代码执行。

这是联想自今年年初以来第二次着手解决UEFI安全漏洞。今年4月，该公司解决了三个漏洞（CVE-2021-3970、CVE-2021-3971和CVE-2021-3972）——也是由Smolár发现的——可能被用来部署和执行固件植入。

强烈建议受影响设备的用户将其固件更新到最新版本，以缓解潜在威胁。

消息来源：TheHackerNews，译者：Shirley；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc ” 并附上原文