Lenovo製ノートPCのBIOSに複数脆弱性 - 100モデル以上に影響

2021年10月にこれら脆弱性をLenovoへ報告したESETによれば、「SecureBackDoor」「SecureBackDoorPeim」との名称を持つドライバが存在することへ気がついたことをきっかけに「CVE-2021-3971」を発見したという。

調査を進めたところ、さらに「ChgBootDxeHook」「ChgBootSmm」といったドライバに「CVE-2021-3972」が存在することや、メモリ破壊の脆弱性「CVE-2021-3970」を発見した。

「CVE-2021-3971」「CVE-2021-3972」に関しては、製品の製造工程で使用したUEFIファームウェアドライバに起因。無効化されずにそのまま出荷製品のBIOSイメージへ実装されていた。

Lenovoが公表したアドバイザリでは、対象として114モデルの記載があり、少なくとも2件、多い場合は3件の脆弱性の影響を受けるとし、脆弱性に対処したファームウェアのアップデートを提供している。

一方、開発サポート期間が終了している場合は、リストに記載されていないモデルであっても脆弱性の影響を受けるおそれがあるとESETでは指摘。注意を呼びかけている。

（Security NEXT - 2022/04/20 ）ツイート