BIOS-Sicherheitslücken: Lenovo veröffentlicht neue Firmware für viele Notebooks

Lenovo hat einen Sicherheitshinweis für drei Schwachstellen in seiner UEFI-Firmware herausgegeben, welche mehr als 70 Notebooks des Herstellers betreffen sollen. Die Sicherheitsexperten von ESET hatten Lenovo bereits vor einiger Zeit auf diese Sicherheitslücken aufmerksam gemacht, jetzt stehen erste Updates bereit.

Der aktuelle Security Advisory Report „Lenovo Notebook BIOS Vulnerabilities“ führt die drei Sicherheitslücken CVE-2022-1890, CVE-2022-1891 und CVE-2022-1892 auf und empfiehlt betroffenen Anwendern deshalb, die UEFI-Firmware ihres Notebooks umgehend zu aktualisieren.

Schwachstellen bedrohen mehr als 70 Modelle

Eine Liste der mehr als 70 betroffenen Modelle und der dazugehörigen Firmware hat der Hersteller ebenfalls bereits über seinen Support veröffentlicht.

Bei den Sicherheitslücken können Angreifer, wenn auch nur lokal, schon beim Start des Systems schadhaften Code in der Boot-Phase ausführen, wie die Website Borns IT- und Windows-Blog zuerst berichtet hat.

Über die Schwachstellen angreifbar sind zahlreiche Notebooks der Serien Yoga, ThinkBook, IdeaPad und Legion.

• CVE-2022-1890: Im ReadyBootDxe-Treiber einiger Lenovo-Notebook-Produkte wurde ein Pufferüberlauf festgestellt, der es einem Angreifer mit lokalen Rechten ermöglichen könnte, beliebigen Code auszuführen.
• CVE-2022-1891: In einigen Lenovo-Notebook-Produkten wurde ein Pufferüberlauf im SystemLoadDefaultDxe-Treiber entdeckt, der einem Angreifer mit lokalen Rechten die Ausführung von beliebigem Code ermöglichen könnte.
• CVE-2022-1892: In einigen Lenovo-Notebook-Produkten wurde ein Pufferüberlauf im SystemBootManagerDxe-Treiber entdeckt, der einem Angreifer mit lokalen Rechten die Ausführung von beliebigem Code ermöglichen könnte.

Die entsprechenden Updates für die UEFI-Firmware der betroffenen Modelle sind direkt über den Sicherheitsreport von Lenovo verlinkt. Weitere Hintergründe zu den drei Sicherheitslücken liefern die Sicherheitsexperten von ESET via Twitter.

X

An dieser Stelle steht ein externer Inhalt von X, der den Artikel ergänzt und von der Redaktion empfohlen wird. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

X-Embeds laden

Ich bin damit einverstanden, dass X-Embeds geladen werden. Dabei können personen­bezogene Daten an X übermittelt werden. Mehr dazu in der Datenschutzerklärung.

#ESETresearch discovered and reported to the manufacturer three buffer overflow vulnerabilities in UEFI firmware of several #Lenovo Notebook devices, affecting more than 70 various models including several ThinkBook models. @smolar_m 1/6

— ESET research (@ESETresearch) July 13, 2022

X-Embeds laden Datenschutzerklärung

CB-Funk Podcast #92: Stalker 2 im Benchmark auf dem ausverkauften(?) 9800X3D mit Fabian und Jan-Frederik