Abo
  • Services:

Thinkpwn: Lenovo warnt vor mysteriöser Bios-Schwachstelle

Lenovo warnt vor einem Fehler im Bios-Code aktueller Modelle. Die Schwachstelle wurde von einem Sicherheitsforscher unkoordiniert veröffentlicht, gepatcht ist sie bislang noch nicht.

Artikel veröffentlicht am ,
Lenovos BIOS-Lieferanten müssen nachsitzen.
Lenovos BIOS-Lieferanten müssen nachsitzen. (Bild: Gleb Garanich/Reuters)

Der PC-Hersteller Lenovo warnt vor einer Sicherheitslücke in BIOS-Software, die von dem Unternehmen verwendet wird. Diese soll es lokalen Geräteadministratoren ermöglichen, Sicherheitsfunktionen wie Secure Boot zu deaktivieren und Schadcode einzuschleusen. Betroffen ist offenbar von Drittanbietern eingekaufte Software, die auch von anderen Herstellern verwendet wird.

Stellenmarkt
  1. FES Frankfurter Entsorgungs- und Service GmbH, Frankfurt am Main
  2. SD Worx GmbH, Berlin, Dreieich

Bislang sind nur relativ wenig Details bekannt, unklar ist zum Beispiel welche Geräte betroffen sind. Getestet wurde die Lücke auf einem Thinkpad T450. Lenovo schreibt in dem Security-Advisory, "dass die unkoordinierte Veröffentlichung" der Informationen "durch einen Sicherheitsforscher" bekannt sei. Offenbar ist ein Blogpost des Sicherheitsforschers Dmytro Oleksiuk gemeint, dieser wird aber nicht explizit verlinkt. Nach Angaben von Lenovo reagierte Oleksiuk nicht auf Kontaktversuche.

Der SMM-Code ist betroffen

Das Problem liegt im Code, der den System Management Mode betrifft. Dieser ist für die Steuerung verschiedener Hardware-Funktionen des Prozessors zuständig und Teil der X86-Architektur. Nach Angaben von Lenovo ist SMM-Code von mindestens einem externen Bios-Hersteller betroffen. Bislang soll noch nicht bekannt sein, wer den verwundbaren Code entwickelt hat. Einen Patch gibt es nicht. Lenovo arbeitet nach eigenen Angaben mit allen unabhängigen Bios-Entwicklern zusammen, um weiter Schwachstellen zu finden und zu beheben.

Ein Exploit für die Lücke wurde auf Github veröffentlicht. Dort steht, dass die meisten aktuellen Modelle von Lenovo verwundbar sein sollen. Das älteste getestete Modell sei das X220, das neueste das T450s, jeweils mit der aktuellsten verfügbaren Firmware. Die zugrundeliegende Sicherheitslücke wurde von Intel offenbar bereits im Jahr 2014 gepatcht, einige Hersteller haben offenbar alten Code für die Erstellung ihrer Bios beziehungsweise UEFI-Versionen verwendet.

Nach Angaben von Oleksiuk ermöglicht die Sicherheitslücke die Deaktivierung von Sicherheitsfeatures wie UEFI Secure Boot, Virtual Secure Mode und Credential Guard und "andere böse Dinge". Dazu müsse der lokale Nutzer über Administratorrechte verfügen. Der Sicherheitsforscher Alex James weist auf Twitter daraufhin, dass auch ein HP-Notebook aus dem Jahr 2010 betroffen sein soll.



Anzeige
Hardware-Angebote

mgra 05. Jul 2016

Zitat vom Ende des exorbitanten Blockpost: Technical nature of this 0day vulnerability is...

blubberer 04. Jul 2016

Und ich behaupte mal das Gegenteil. Warum? Diese Lücke mit Drive By kombiniert, in der...


Folgen Sie uns
       


Fazit zu Shadow of the Tomb Raider

Wir tauchen mit Lara in der Apokalypse ab und verfassen unser Fazit.

Fazit zu Shadow of the Tomb Raider Video aufrufen
Pixel 3 XL im Test: Algorithmen können nicht alles
Pixel 3 XL im Test
Algorithmen können nicht alles

Google setzt beim Pixel 3 XL alles auf die Kamera, die dank neuer Algorithmen nicht nur automatisch blinzlerfreie Bilder ermitteln, sondern auch einen besonders scharfen Digitalzoom haben soll. Im Test haben wir allerdings festgestellt, dass auch die beste Software keine Dual- oder Dreifachkamera ersetzen kann.
Ein Test von Tobias Költzsch

  1. Android Google-Apps könnten Hersteller bis zu 40 US-Dollar kosten
  2. Google Pixel-Besitzer beklagen nicht abgespeicherte Fotos
  3. Dragonfly Google schweigt zu China-Plänen

Campusnetze: Das teure Versäumnis der Telekom
Campusnetze
Das teure Versäumnis der Telekom

Die Deutsche Telekom muss anderen Konzernen bei 5G-Campusnetzen entgegenkommen. Jahrzehntelang von Funklöchern auf dem Lande geplagt, wollen Siemens und die Automobilindustrie nun selbst Mobilfunknetze aufspannen. Auch der öffentliche Rundfunk will selbst 5G machen.
Eine Analyse von Achim Sawall

  1. Funklöcher Telekom bietet freiwillig hohe 5G-Netzabdeckung an
  2. 5G Telekom hat ihr Mobilfunknetz mit Glasfaser versorgt
  3. Stadtnetzbetreiber 5G-Netz kann auch aus der Box kommen

Mate 20 Pro im Hands on: Huawei bringt drei Brennweiten und mehr für 1.000 Euro
Mate 20 Pro im Hands on
Huawei bringt drei Brennweiten und mehr für 1.000 Euro

Huawei hat mit dem Mate 20 Pro seine Dreifachkamera überarbeitet: Der monochrome Sensor ist einer Ultraweitwinkelkamera gewichen. Gleichzeitig bietet das Smartphone zahlreiche technische Extras wie einen Fingerabdrucksensor unter dem Display und einen sehr leistungsfähigen Schnelllader.
Ein Hands on von Tobias Költzsch

  1. Keine Spionagepanik Regierung wird chinesische 5G-Ausrüster nicht ausschließen
  2. Watch GT Huawei bringt Smartwatch ohne Wear OS auf den Markt
  3. Ascend 910/310 Huaweis AI-Chips sollen Google und Nvidia schlagen

    •  /