Bios: Sicherheitslücken im UEFI etlicher Lenovo-Laptops
Gleich mehrere Sicherheitslücken in der Firmware UEFI (Unified Extensible Firmware Interface) betreffen 25 Laptop-Modelle des Herstellers Lenovo. Über die Lücken lässt sich aus dem Betriebssystem heraus der UEFI-Secure-Boot-Prozess deaktivieren.
Zudem lassen sich unsignierte UEFI-Apps ausführen oder Bootloader laden, mit welchen die Geräte mit einer dauerhaften Backdoor versehen werden können, die auch eine Neuinstallation des Betriebssystems überdauern kann.
Lenovo hat Updates für die meisten betroffenen Geräte veröffentlicht(öffnet im neuen Fenster) . Betroffen sind unter anderem Thinkbooks, Yoga Slims und Ideapads. Entdeckt wurden die Lücken durch Forscher der Sicherheitsfirma Eset(öffnet im neuen Fenster) . Um die Lücken auszunutzen, sind allerdings Administratorrechte notwendig, die beispielsweise über immer wieder auftretende Sicherheitslücken zur Rechteausweitung erlangt werden können.
Zwei von drei Sicherheitslücken geschlossen
Den Angaben zufolge ermöglichen drei Schwachstellen (CVE-2022-3430, CVE-2022-3431 und CVE-2022-3432) das Deaktivieren von Secure Boot aus dem Betriebssystem heraus. Mit der Sicherheitstechnik soll sichergestellt werden, dass während des Bootvorgangs nur signierter Code und kein Schadcode geladen wird.
Zwei der Sicherheitslücken wurden von Lenovo behoben, die dritte jedoch nicht, da sie ausschließlich das Ideapad Y700-14ISK betrifft, das bereits den End-of-Life-Status (EOL) erreicht hat und von Lenovo auch in diesem Fall nicht mehr mit Sicherheitsupdates versorgt wird. Es bleibt also unsicher.
Die Sicherheitslücken stecken zum Teil in Treibern, die Lenovo mit den Geräten auslieferte, die nur für die Verwendung während des Herstellungsprozess vorgesehen waren.
"Die meisten Leute meinen, dass man, um Einstellungen in der Firmware oder im Bios zu ändern, physischen Zugriff haben muss, um die DEL-Taste beim Booten zu drücken, um in das Setup zu gelangen und dort Dinge zu tun. Wenn man einige dieser Dinge vom Betriebssystem aus tun kann, ist das eine große Sache," sagte einer der Forscher dem Onlinemagazin Ars Technica.