Lenovo ha solucionado algunas fallas importantes del BIOS que permitieron que los actores de amenazas lanzaran una variedad de ataques cibernéticos destructivos en su amplia gama de productos, desde PC de escritorio (se abre en una pestaña nueva)a la computadora portátil.
En un aviso de seguridad emitido a principios de esta semana, la compañía dijo que sus cientos de dispositivos, incluidas las familias Desktop, All in One, IdeaCentre, Legion, ThinkCentre, ThinkPad, ThinkAgile, ThinkStation y ThinkSystem, son vulnerables a un total de seis ataques diferentes. . Vulnerabilidad.
Los actores de amenazas pueden abusar de estas vulnerabilidades para robar datos confidenciales, escalar privilegios, lanzar ataques de denegación de servicio y, en casos extremos, permitir la ejecución de código arbitrario.
Exponga datos y arriesgue la ejecución de código arbitrario
Las fallas reparadas por Lenovo incluyen CVE-2021-28216 (falla de puntero en TianoCore EDK II BIOS: permite la elevación de privilegios y la ejecución de código arbitrario), CVE-2022-40134 (vulnerabilidad de divulgación de información en SMI Set Bios Password SMI Handler: permite la lectura de memoria SMM) ) , CVE-2022-40137 (desbordamiento de búfer en el controlador WMI SMI, permitir la ejecución de código arbitrario), mejora de seguridad de American Megatrends (sin CVE).
Las correcciones para estas fallas son parte de la última actualización de BIOS para los dispositivos antes mencionados, y la compañía recomienda que todos los administradores de sistemas las apliquen de inmediato.
más parches (se abre en una pestaña nueva) Se espera que se lance antes de fin de mes y en octubre, algunos de los modelos recibirán una actualización a principios del próximo año.
Aquellos interesados en arreglar puntos finales (se abre en una pestaña nueva) Uno debe navegar al portal de controladores y software de Lenovo, buscar su dispositivo por nombre y seleccionar Actualización manual. Esto descargará la última versión del firmware del BIOS, que luego pueden instalar manualmente.
Puede encontrar la lista completa de dispositivos afectados en este enlace (se abre en una pestaña nueva).
vía: BleepingComputer (se abre en una pestaña nueva)
