News BIOS-Sicherheitslücken: Lenovo veröffentlicht neue Firmware für viele Notebooks

[SVΞN]

Lenovo hat einen Sicherheitshinweis für drei Schwachstellen in seiner UEFI-Firmware herausgegeben, welche mehr als 70 Notebooks des Herstellers betreffen sollen. Die Sicherheitsexperten von ESET hatten Lenovo bereits vor einiger Zeit auf diese Sicherheitslücken aufmerksam gemacht, jetzt stehen erste Updates bereit.

Zur News: BIOS-Sicherheitslücken: Lenovo veröffentlicht neue Firmware für viele Notebooks

 

[Termy]

Und genau wegen sowas ist es höchste Zeit, dass die versammelte Mannschaft endlich auf Coreboot setzt. Stattdessen bastelt jeder sein eigenes halbgares Süppchen zusammen, welches in den meisten Fällen vielleicht ein halbes Jahr gepflegt wird...

 

[Simanova]

Und parallel dazu hat ESET alle Mitarbeiter aus Kiew "gerettet" (soweit es möglich war)
allen Ukrainischen Kunden kostenlos den vollen Funktionsumfang der Software freigeschaltet,
und 700.000€ Direkthilfe an Ukrainer ausgezahlt. Wäre ein Wort wert gewesen.

https://www.eset.com/int/ua-crisis/#eset-helps

***

Lenovo stuft die Sicherheitslücke als "Medium" (Mittelschwer) ein.
Lächerlich, wenn man bedenkt wieviele Gerät betroffen sind.
https://support.lenovo.com/de/de/product_security/len-91369

***

Die ursprüngliche Meldung von ESET LINK stamm aus dem April,
Lenovo hatte mehr als 3 Monate Zeit.

***

Wichtig:
Bereits mit Lojax oder ESPecter infizierte Geräte können nicht per Firmware-Update gerettet werden.
Ein Statement von Lenovo diesbezüglich ist noch ausstehend.

Falls jemand ein infiziertes Gerät hat, empfehle ich den Kundensupport von Lenovo zu kontaktieren,
damit das Mainboard getauscht wird. Wer keine Garantie mehr hat, kann sich eine Garantieerweiterung nachträglich kaufen: Lenovo Support Center

 

[7r1c3]

Und genau wegen sowas ist es höchste Zeit, dass die versammelte Mannschaft endlich auf Coreboot setzt.

Setzt außer Google in den Chromebooks überhaupt jemand im Consumer Bereich darauf?

 

[SI Sun]

@Simanova
Muss man denn alles und überall die Ukraine erwähnen?
Ich denke, jeder sollte bereits festgestellt haben, dass "alle" die Ukraine unterstützen und die Betreiber von Webseiten, Unternehmen, Promis, etc. damit nebenbei ihr Image, der Zeit angepasst, aufbessern möchten.

 

[Tenferenzu]

Immerhin betrifft es die ThinkPads nicht. Ein Tropfen auf dem heißen Stein aber immerhin

 

[Simanova]

@Simanova
Muss man denn alles und überall die Ukraine erwähnen?
Ich denke, jeder sollte bereits festgestellt haben, dass "alle" die Ukraine unterstützen und die Betreiber von Webseiten, Unternehmen, Promis, etc. damit nebenbei ihr Image, der Zeit angepasst, aufbessern möchten.

Ich würde das Statement jederzeit weglassen, aber ESET hatte Entwickler dort sitzen, die zu diesem Zeitpunkt daran gearbeitet haben. Daher Beitragsrelevant.

 

[BloodReaver87]

@Simanova
Muss man denn alles und überall die Ukraine erwähnen?
Ich denke, jeder sollte bereits festgestellt haben, dass "alle" die Ukraine unterstützen und die Betreiber von Webseiten, Unternehmen, Promis, etc. damit nebenbei ihr Image, der Zeit angepasst, aufbessern möchten.

Jep, kann man nicht oft genug erwähnen!

 

[Mhalekith]

interessant
keines aus der Busines Serie dabei, sofern die Liste vollständig ist...

 

[xmimox]

Wäre schön wenn sie mal die ganzen bios bugs beheben die sich durch viele Generationen ziehen bspw. „USB Aktiv wenn Rechner aus ist“.. der dafür sorgt dass der lenovo bluescreens bekommt oder grundlos ausgeht oder einfach nicht mehr startet.

 

[flaphoschi]

Immerhin betrifft es die ThinkPads nicht. Ein Tropfen auf dem heißen Stein aber immerhin

Ja. Die wertigeren ThinkPads - welche mehr Kosten und sich nur an Firmen und informierte Konsumenten richten - haben kein Problem. Und das zum wiederholten Mal?

Immer Business-Schiene kaufen. Kommt halt die neueste CPU fünf Monate später, dafür ist das Gehäuse aus einem Material, einer Farbe*, die Tastatur perfekt und es hält auch mehr aus. Abgesehen von, dass es überhaupt Ersatzteile gibt.


* Fujitsu: Wieso? Tastatur und Gehäuse in verschiedenen Farben. Und wenn man die mal anfasst 🤢

 

[SI Sun]

@xmimox
Nie davon gehört.
Vielleicht hast du ein defektes Gerät?

Ich habe diese Ladefunktion im UEFI deaktiviert und es wird entsprechend auch nichts geladen.
Bluescreens hatte ich nur zwei, aber diese waren zu 99,9% durch mich selbst verursacht worden, als ich das System absichtlich ausreizen wollte.

 

[xmimox]

Das Problem hatte ich bei einem yoga und einem Legion. Der Support sagt auch direkt von sich aus 2 Werte die man deaktivieren sollte.

 

[Termy]

Setzt außer Google in den Chromebooks überhaupt jemand im Consumer Bereich darauf?

Leider quasi keiner.
Immerhin gibt es von 3mdeb für ein aktuelles Alder Lake Mainboard Dasharo-Builds. Hat sich seit erstem Release schon gut entwickelt, wäre für mich beim Neukauf tatsächlich ein starkes Argument.

 

[Andreas10000]

Lenovo stuft die Sicherheitslücke als "Medium" (Mittelschwer) ein.
Lächerlich, wenn man bedenkt wieviele Gerät betroffen sind.
https://support.lenovo.com/de/de/product_security/len-91369

Bei den Einstufungen geht normalerweise nicht darum wieviele Geräte angreiffbar sind, sondern wie leicht diese Geräte angegriffen werden können und wieviel Schaden der Angreifer damit verursachen kann.

Da der Angreifer lt. Artikel "nur" lokal angreiffen kann, ist das Risiko für den Endkunden überschaubar und dementsprechend wird die Lücke als Mittelschwer bezeichnet.

 

[deollz]

Auf meinem Thinkpad (X230) läuft Coreboot (Tails) mit aufgesetztem HEADS (Tamper Boot) seit 4 Jahren zuverlässig.
Allerdings nur unter Linux möglich.
interresiert : https://osresearch.net/Heads-threat-model/

 

[lorpel]

Ja und? Meine SSD sind mit bitlocker verschlüsselt samt Bootpasswort. Da kann jemand ausführen was er will, mir egal. Backups sind vorhanden. Wenn jemand Zugriff auf meinen Laptop hat, dann weil er den gestohlen hat. Dann zählt für mich nur noch, dass der nicht an meine Daten kommt.

Dieses Update werde ich nicht einspielen.

 

[Joshua2go]

Ja und? Meine SSD sind mit bitlocker verschlüsselt samt Bootpasswort.

Bitlocker ist aber nur für den Gelegenheitsdieb ein Problem. Der Profi lacht da bloß mal kurz....

 

[lorpel]

Bitlocker ist aber nur für den Gelegenheitsdieb ein Problem. Der Profi lacht da bloß mal kurz....

Kannst du das belegen?

 

[Joshua2go]

Kannst du das belegen?

Auch Microsoft muss sich dem "USA Patriot Act" beugen. Was das bedeutet kannst du ja mal schnell selber Googeln.