Lenovo製ノートPCのBIOSに複数脆弱性 - 100モデル以上に影響
Lenovo製ノートブック端末のBIOSに複数の脆弱性が明らかとなった。100種類以上のモデルが影響を受ける。
3件の脆弱性が明らかとなり、Lenovoが現地時間4月18日にアドバイザリをリリースしたもの。脆弱性の悪用には高い権限が必要だが、OS起動前にUEFIのファームウェアが読み込む「EFIシステムパーティション(ESP)」へマルウェアなどを設置されるおそれがある。
具体的には、「CVE-2021-3970」は、システムマネジメントモードにおいてメモリ破壊が生じる脆弱性。メモリの書き込みや読み込みが可能となり、任意のコードを実行されるおそれがある。
また「CVE-2021-3971」では、ファームウェアの保護領域を変更することが可能。「CVE-2021-3972」により、UEFIセキュアブートの設定が変更され、無効化されるおそれがある。
Lenovoでは、これら脆弱性について共通脆弱性評価システム「CVSSv3.1」のベーススコアを示していないが、脆弱性の重要度を「中(Medium)」とレーティングしている。
(Security NEXT - 2022/04/20 )
ツイート
PR
関連記事
「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調
メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加
「NetScaler ADC」脆弱性、パッチ公開前から攻撃発生
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Chrome」にゼロデイ脆弱性、アップデート公開 - 軽減策の実施も
特権コマンド実行ツール「sudo」に重要度「クリティカル」の脆弱性
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
「MS Edge」にアップデート - 固有の脆弱性などにも対処
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
構成管理ツール「Salt」に複数脆弱性 - 「クリティカル」も