Abo
  • Services:

Thinkpwn: Lenovo warnt vor mysteriöser Bios-Schwachstelle

Lenovo warnt vor einem Fehler im Bios-Code aktueller Modelle. Die Schwachstelle wurde von einem Sicherheitsforscher unkoordiniert veröffentlicht, gepatcht ist sie bislang noch nicht.

Artikel veröffentlicht am ,
Lenovos BIOS-Lieferanten müssen nachsitzen.
Lenovos BIOS-Lieferanten müssen nachsitzen. (Bild: Gleb Garanich/Reuters)

Der PC-Hersteller Lenovo warnt vor einer Sicherheitslücke in BIOS-Software, die von dem Unternehmen verwendet wird. Diese soll es lokalen Geräteadministratoren ermöglichen, Sicherheitsfunktionen wie Secure Boot zu deaktivieren und Schadcode einzuschleusen. Betroffen ist offenbar von Drittanbietern eingekaufte Software, die auch von anderen Herstellern verwendet wird.

Stellenmarkt
  1. mobilcom-debitel GmbH, Büdelsdorf (bei Kiel)
  2. TE Connectivity Germany GmbH, Feuchtwangen

Bislang sind nur relativ wenig Details bekannt, unklar ist zum Beispiel welche Geräte betroffen sind. Getestet wurde die Lücke auf einem Thinkpad T450. Lenovo schreibt in dem Security-Advisory, "dass die unkoordinierte Veröffentlichung" der Informationen "durch einen Sicherheitsforscher" bekannt sei. Offenbar ist ein Blogpost des Sicherheitsforschers Dmytro Oleksiuk gemeint, dieser wird aber nicht explizit verlinkt. Nach Angaben von Lenovo reagierte Oleksiuk nicht auf Kontaktversuche.

Der SMM-Code ist betroffen

Das Problem liegt im Code, der den System Management Mode betrifft. Dieser ist für die Steuerung verschiedener Hardware-Funktionen des Prozessors zuständig und Teil der X86-Architektur. Nach Angaben von Lenovo ist SMM-Code von mindestens einem externen Bios-Hersteller betroffen. Bislang soll noch nicht bekannt sein, wer den verwundbaren Code entwickelt hat. Einen Patch gibt es nicht. Lenovo arbeitet nach eigenen Angaben mit allen unabhängigen Bios-Entwicklern zusammen, um weiter Schwachstellen zu finden und zu beheben.

Ein Exploit für die Lücke wurde auf Github veröffentlicht. Dort steht, dass die meisten aktuellen Modelle von Lenovo verwundbar sein sollen. Das älteste getestete Modell sei das X220, das neueste das T450s, jeweils mit der aktuellsten verfügbaren Firmware. Die zugrundeliegende Sicherheitslücke wurde von Intel offenbar bereits im Jahr 2014 gepatcht, einige Hersteller haben offenbar alten Code für die Erstellung ihrer Bios beziehungsweise UEFI-Versionen verwendet.

Nach Angaben von Oleksiuk ermöglicht die Sicherheitslücke die Deaktivierung von Sicherheitsfeatures wie UEFI Secure Boot, Virtual Secure Mode und Credential Guard und "andere böse Dinge". Dazu müsse der lokale Nutzer über Administratorrechte verfügen. Der Sicherheitsforscher Alex James weist auf Twitter daraufhin, dass auch ein HP-Notebook aus dem Jahr 2010 betroffen sein soll.



Anzeige
Hardware-Angebote
  1. und 20€ Steam-Guthaben geschenkt bekommen
  2. 164,90€
  3. (reduzierte Überstände, Restposten & Co.)

mgra 05. Jul 2016

Zitat vom Ende des exorbitanten Blockpost: Technical nature of this 0day vulnerability is...

blubberer 04. Jul 2016

Und ich behaupte mal das Gegenteil. Warum? Diese Lücke mit Drive By kombiniert, in der...


Folgen Sie uns
       


Smartphones Made in Germany - Bericht

Gigaset baut Smartphones - in Deutschland.

Smartphones Made in Germany - Bericht Video aufrufen
Leistungsschutzrecht/Uploadfilter: Worüber das Europaparlament wirklich abstimmt
Leistungsschutzrecht/Uploadfilter
Worüber das Europaparlament wirklich abstimmt

Das Europaparlament entscheidet am Donnerstag über das Leistungsschutzrecht und Uploadfilter. Doch Gegner und Befürworter streiten bis zuletzt, worüber eigentlich abgestimmt wird. Golem.de analysiert die Vorschläge.
Eine Analyse von Friedhelm Greis

  1. Urheberrecht Europaparlament bremst Leistungsschutzrecht und Uploadfilter
  2. Urheberrecht Freies Netz für freie Bürger
  3. Leistungsschutzrecht Verleger attackieren Bär und Jarzombek scharf

Blackberry Key2 im Test: Ordentliches Tastatur-Smartphone mit zu vielen Schwächen
Blackberry Key2 im Test
Ordentliches Tastatur-Smartphone mit zu vielen Schwächen

Zwei Hauptkameras, 32 Tasten und viele Probleme: Beim Blackberry Key2 ist vieles besser als beim Keyone, unfertige Software macht dem neuen Tastatur-Smartphone aber zu schaffen. Im Testbericht verraten wir, was uns gut und was uns gar nicht gefallen hat.
Ein Test von Tobias Czullay

  1. Blackberry Key2 im Hands On Smartphone bringt verbesserte Tastatur und eine Dual-Kamera
  2. Blackberry Motion im Test Langläufer ohne Glanz

Samsung Flip im Test: Brainstorming mit Essstäbchen und nebenbei Powerpoint
Samsung Flip im Test
Brainstorming mit Essstäbchen und nebenbei Powerpoint

Ob mit dem Finger, dem Holzstift oder Essstäbchen: Vor dem Smartboard Samsung Flip sammeln sich in unserem Test schnell viele Mitarbeiter und schreiben darauf. Nebenbei läuft Microsoft Office auf einem drahtlos verbundenen Notebook. Manche Vorteile gehen jedoch auf Kosten der Bedienbarkeit.
Ein Test von Oliver Nickel

  1. Indien Samsung eröffnet weltgrößte Smartphone-Fabrik
  2. Foundry Samsung aktualisiert Node-Roadmap bis 3 nm
  3. Bug Samsungs Messenger-App verschickt ungewollt Fotos

    •  /