3 Vulnerabilidades Críticas En La UEFI De Las Laptops Lenovo (70 Modelos, Incluido ThinkBook) Permiten Hackearlas Para Siempre, Incluso Al Remover El Disco Duro

Lenovo lanzó correcciones de seguridad para abordar tres vulnerabilidades que residen en el firmware UEFI enviado con más de 70 modelos de productos, incluidos varios modelos de ThinkBook. ESET Research descubrió y reportó al fabricante estas tres vulnerabilidades. Hace dos meses, las vulnerabilidades de UEFI afectaron a las laptops Dell.

For those using one of the affected devices, we highly recommend updating to the latest firmware version. To see if you are affected by these vulnerabilities and for the firmware update instructions, visit Lenovo Advisory. https://t.co/w8UWbGOYj3 6/6

— ESET research (@ESETresearch) July 13, 2022

CVE-2022-1890: Se identificó un desbordamiento de búfer en el controlador ReadyBootDxe en algunos productos portátiles Lenovo que puede permitir que un atacante con privilegios locales ejecute código arbitrario. 

CVE-2022-1891: Se identificó un desbordamiento de búfer en el controlador SystemLoadDefaultDxe en algunos productos portátiles Lenovo que puede permitir que un atacante con privilegios locales ejecute código arbitrario. 

CVE-2022-1892: Se identificó un desbordamiento de búfer en el controlador SystemBootManagerDxe en algunos productos portátiles Lenovo que puede permitir que un atacante con privilegios locales ejecute código arbitrario.

#ESETresearch discovered and reported to the manufacturer three buffer overflow vulnerabilities in UEFI firmware of several #Lenovo Notebook devices, affecting more than 70 various models including several ThinkBook models. @smolar_m 1/6

— ESET research (@ESETresearch) July 13, 2022

Impacto potencial: Escalada de privilegios 

Gravedad: Media

Mitigación

Se recomienda a los propietarios de los dispositivos afectados que actualicen a la última versión de firmware. Para descargar la versión especificada para su producto a continuación, siga estos pasos: Vaya al sitio de soporte de controladores y software para su producto:

1. Busque su producto por nombre o tipo de máquina.
2. Haga clic en Controladores y software en el panel de menú izquierdo.
3. Haga clic en Actualización manual para buscar por tipo de componente.
4. Compare la versión de corrección mínima para su producto de la tabla de productos aplicable a continuación con la última versión publicada en el sitio de soporte.

Lista de Modelos afectados