Milioni di dispositivi Lenovo interessati dalla vulnerabilità del BIOS

Milioni di notebook Lenovo sono interessati da una grave vulnerabilità del BIOS. Questa settimana Lenovo ha informato i suoi clienti della vulnerabilità sul suo sito Web di supporto. La società ha già rilasciato aggiornamenti del firmware per alcuni dei dispositivi interessati e prevede di rilasciare gli aggiornamenti rimanenti all’inizio di maggio.

Lenovo rivela sul sito Web che molti dei suoi dispositivi notebook sono interessati da tre diverse vulnerabilità — CVE-2021-3970, CVE-2021-3971 e CVE-2021-3972 — che potrebbero consentire agli aggressori con privilegi elevati di eseguire codice arbitrario o disabilitare le protezioni flash SPI durante il runtime del sistema operativo.

ESET , la società di sicurezza che ha scoperto le vulnerabilità e le ha segnalate a Lenovo, ha scoperto che due delle vulnerabilità interessano i driver del firmware UEFI destinati esclusivamente all’uso nel processo di produzione. Sembra che Lenovo non li abbia disattivati ​​correttamente nei dispositivi di produzione.

Dispositivi interessati e correzioni del firmware

Aggiornamento del BIOS Lenovo

Le vulnerabilità interessano diverse famiglie di dispositivi Lenovo, inclusi Lenovo IdeaPad 3, Flex 3, L340, Legion 5 e 7, Legion Y540, S14, S145, S540, Slim 7 e 9, V14 e V15 e Yoga Slim 7. L’elenco completo dei dispositivi interessati è disponibile sul sito Web del supporto Lenovo.

Lenovo ha rilasciato versioni firmware aggiornate per alcuni dei prodotti interessati. Per altri, mira a fornire gli aggiornamenti del firmware il 10 maggio 2022. I dispositivi che hanno raggiunto la fine della manutenzione non riceveranno gli aggiornamenti del firmware.

Alcuni dispositivi non sono interessati da tutte e tre le vulnerabilità, ma la maggior parte è interessata da tutte e tre le vulnerabilità confermate. I driver del firmware aggiornati sono forniti da Lenovo; i clienti devono fare clic sul collegamento di supporto del dispositivo sul sito Web Lenovo per aprire il sito Web del driver.

Lì, devono selezionare BIOS/UEFI per visualizzare gli aggiornamenti firmware disponibili per scaricare l’aggiornamento. La pagina di supporto, che elenca le vulnerabilità, elenca le versioni del firmware che contengono le correzioni di sicurezza.

Gli aggiornamenti possono essere installati direttamente dal sistema operativo Windows eseguendo il file eseguibile scaricato. Per ogni file del firmware è disponibile un file readme, che fornisce istruzioni sull’installazione dell’aggiornamento sul dispositivo.

I clienti possono anche visitare il sito Web di supporto Lenovo principale per cercare gli aggiornamenti per i propri dispositivi in ​​questo modo.

Analisi delle vulnerabilità nei notebook Lenovo

La società di sicurezza ESET ha segnalato le vulnerabilità a Lenovo nell’ottobre 2021. Lenovo ha confermato le vulnerabilità nel novembre 2021 e ha richiesto il rinvio della data di divulgazione al pubblico ad aprile 2022. Lenovo ha pubblicato l’avviso sulla sicurezza il 18 aprile ed ESET i suoi risultati e dettagli il giorno dopo.

La vulnerabilità CVE-2021-3971 può essere sfruttata per disabilitare le protezioni SPI sui dispositivi Lenovo. Il firmware UEFI è solitamente archiviato in un chip di memoria flash incorporato sulla scheda madre del computer. È collegato al processore tramite l’interfaccia periferica seriale (SPI).

La memoria è indipendente dal sistema operativo, il che significa che rimane anche se il sistema operativo viene reinstallato o viene installato un altro sistema. Un amministratore potrebbe cancellare il disco rigido di un dispositivo, installare un altro sistema operativo e la memoria non verrebbe modificata dall’acquirente. Poiché non è volatile, è un obiettivo di alto livello per gli attori delle minacce.

Malware come LOJAX , il primo rootkit UEFI trovato in natura, MosaicRegressor o MoonBounce , hanno preso di mira la memoria negli attacchi.

I produttori hanno creato diversi meccanismi di sicurezza per proteggere il flash SPI da modifiche non autorizzate. La principale linea di difesa è “fornita dagli speciali registri di configurazione mappati in memoria esposti dal chipset stesso: il BIOS Control Register e cinque registri Protected Range”.

CVE-2021-3971 può essere sfruttato creando la variabile NVRAM. L’utilizzo riuscito disabilita le protezioni da scrittura flash SPI. Con la variabile impostata, il firmware della piattaforma salterà l’esecuzione del codice che è “responsabile dell’impostazione delle protezioni flash SPI basate sul registro BIOS Control Register e Protected Range”.

Il sistema attaccato consente di modificare la flash SPI, anche se eseguita da codice non SMM, consentendo agli aggressori di scrivere codice dannoso direttamente nella memoria del firmware. SMM, System Management Mode, viene utilizzato per varie attività, incluso l’aggiornamento sicuro del firmware di un dispositivo o l’esecuzione di codice proprietario da parte degli OEM.

ESET rileva che qualsiasi amministratore di Windows, con il privilegio SE_SYSTEM_ENVIRONMENT_NAME , può sfruttare la vulnerabilità utilizzando la “funzione API di Windows SetFirmwareEnvironmentVariable”.

La vulnerabilità CVE-2021-3972 offre agli aggressori il controllo su diverse impostazioni del firmware UEFI. Tra questi ci sono lo stato UEFI Secure Boot o la possibilità di ripristinare le impostazioni di fabbrica. Gli aggressori possono sfruttare il problema di sicurezza per varie attività, inclusa la disabilitazione di Secure Boot sul dispositivo.

Secure Boot fa parte della specifica UEFI. Il suo scopo principale è verificare l’integrità dei componenti di avvio per garantire che i componenti possano essere eseguiti. L’avvio protetto utilizza i database per determinare i componenti attendibili. Di solito, i driver UEFI, le applicazioni e le OPROM di terze parti vengono verificati, mentre i driver sulla flash SPI “sono implicitamente considerati attendibili”.

La disabilitazione di Secure Boot, e quindi la disabilitazione del suo processo di verifica dei componenti, consente di caricare durante l’avvio qualsiasi componente, compresi quelli non attendibili o dannosi. Anche il ripristino del firmware UEFI alle impostazioni di fabbrica può avere gravi conseguenze, soprattutto se comporterebbe il caricamento di componenti con vulnerabilità di sicurezza note.

Un utente malintenzionato deve impostare una variabile UEFI sui dispositivi Lenovo senza patch per sfruttare la vulnerabilità. Un account amministratore di Windows con il privilegio SE_SYSTEM_ENVIRONMENT_NAME è necessario per eseguire l’attacco durante il runtime del sistema operativo.

La terza vulnerabilità, CVE-2021-3970, è stata scoperta da ESET durante l’indagine dell’azienda sulle altre due vulnerabilità. La vulnerabilità consente operazioni di lettura e scrittura arbitrarie da e verso SMRAM; ciò può comportare “l’esecuzione di codice dannoso con privilegi SMM” e potenzialmente la “distribuzione di un impianto flash SPI”.

Parole di chiusura

Lenovo ha pubblicato un avviso di sicurezza, che descrive le tre vulnerabilità e i dispositivi interessati e gli aggiornamenti del firmware per la maggior parte dei dispositivi interessati. I clienti sono incoraggiati ad aggiornare immediatamente il firmware del dispositivo per proteggere il dispositivo dagli attacchi mirati alle vulnerabilità.

Alcuni dispositivi riceveranno l’aggiornamento del firmware il 10 maggio 2022. Questi rimangono vulnerabili almeno fino a quella data. I clienti potrebbero voler controllare nuovamente la pagina di supporto alla data per scaricare e installare l’aggiornamento sui propri dispositivi.

Diversi dispositivi Lenovo non riceveranno gli aggiornamenti del firmware. ESET consiglia di utilizzare una “soluzione di crittografia dell’intero disco compatibile con TPM in grado di rendere inaccessibili i dati del disco se la configurazione UEFI Secure Boot cambia”.

Grazie per essere un lettore di Ghacks. Il post Milioni di dispositivi Lenovo interessati dalla vulnerabilità del BIOS è apparso per la prima volta su gHacks Technology News .