Lenovo behebt drei Schwachstellen in Notebook-Firmware

Mit dem neuen Firmware-Update behebt der chinesische Computerhersteller Lenovo weitere drei Schwachstellen im Unified Extensible Firmware Interface (UEFI). Die Bugs betreffen über 70 Notebook-Modelle von Lenovo, wie "The Register" berichtet. Im April dieses Jahres musste Lenovo bereits drei Sicherheitslücken derselben Art in über 100 Notebook-Modellen schliessen.

These vulnerabilities were caused by insufficient validation of DataSize parameter passed to the UEFI Runtime Services function GetVariable. An attacker could create a specially crafted NVRAM variable, causing buffer overflow of the Data buffer in the second GetVariable call. 3/6 pic.twitter.com/HC5ow6KTN0

— ESET Research (@ESETresearch) July 13, 2022

Forschende des Antivirensoftware-Herstellers Eset meldeten Lenovo die Sicherheitslücken. Lenovo teilte den Schwachstellen mittlerweilen die CVE-Nummern CVE-2022-1890, CVE-2022-1891, CVE-2022-1892 zu. Durch die CVE-Nummern werden die Schwachstellen eindeutig identifiziert und deren Ausbreitung verfolgt.

Alle drei Schwachstellen beziehen sich auf sogenannte Buffer-Overflow-Schwachstellen und bergen damit das Risiko, dass ein Angreifer mit lokalen Rechten in der Lage ist, "arbitrary Code" auszuführen, wie "The Register" weiter schreibt. Dadurch könne der Angreifer während des Boot-Prozesses wichtige Sicherheitsfunktionen deaktivieren. Der Schweregrad der Sicherheitslücken werde als mittel eingestuft.

Übrigens: Das US-amerikanische IT-Unternehmen Cloudflare wehrte im Juni eine DDoS-Attacke in Rekrordgrösse ab. Welches Botnet für den Angriff verwendet wurde, lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.