В UEFI на ноутбуках Lenovo обнаружены критические уязвимости, затронувшие более 100 моделей

Lenovo выпустила обновления безопасности для более чем 100 моделей ноутбуков, в которых устраняются критические уязвимости UEFI. Эксплуатируя их, злоумышленники имеют возможность модифицировать прошивки, добавляя вредоносный код, который очень сложно обнаружить и удалить.

Источник изображения: lenovo.com

На ноутбуках Lenovo выявлены три уязвимости, ставящие под угрозу безопасность более миллиона устройств. Уязвимости выявлены на уровне UEFI (Unified Extensible Firmware Interface) — программного компонента, связывающего прошивку с операционной системой. Он запускается сразу после включения практически любого современного компьютера и является первым звеном в безопасности. UEFI записан на флеш-память материнской платы, а значит, внедрённый туда вредоносный код очень трудно обнаружить и удалить.

Две уязвимости под номерами CVE-2021-3971 и CVE-2021-3972 были обнаружены специалистами ESET в драйверах прошивки UEFI, используемых только на этапе производства компьютеров. Инженеры Lenovo включили их в релиз BIOS без надлежащей активации. Используя уязвимости этих драйверов, потенциальные злоумышленники имеют возможность модифицировать прошивку и добавлять в неё вредоносный код. Впоследствии эксперты ESET обнаружили и третью уязвимость, которой был присвоен номер CVE-2021-3970.

Эксплуатация всех трёх уязвимостей требует локального доступа к машине жертвы с неограниченными привилегиями, поэтому на практике представляет собой трудоёмкую задачу. Однако уровень их угрозы является критическим, поскольку заражение открывает злоумышленнику возможности, недоступные большинству типичных вредоносов. Список подверженных уязвимостям моделей доступен на сайте производителя.