UEFI-Firmware-Schwachstelle betrifft über 70 Lenovo-Laptop-Modelle

Der Computer-Hersteller Lenovo hat schwerwiegende Sicherheitslücken geschlossen, die es Angreifern ermöglichen, unentdeckt Geräte mit Schadsoftware zu infizieren. Für rund 70 Modelle gibt es daher jetzt dringend empfohlene UEFI-Firmware-Updates. Die betroffene Lenovo UEFI-Firmware ist anfällig für drei sogenannte Pufferüberlauf-Schwachstellen. Diese Sicherheitslücken können es Angreifern ermöglichen, die Startroutine von Windows-Installationen zu kapern und so in das System ihrer Opfer zu gelangen, ohne dass eine Sicherheitsprüfung anschlagen würde.


Lenovo hat daher eine entsprechende Warnung veröffentlicht und ein Firmware-Update herausgegeben. In dem Sicherheitshinweis werden dabei drei Lücken mittleren Schweregrades mit den Bezeichnungen CVE-2022-1890, CVE-2022-1891 und CVE-2022-1892 aufgelistet. Infografik: Viren sind immer noch die größte Cyber-Bedrohung Entdeckt hatten Sicherheitsforscher von ESET die UEFI-Fehler. "Diese Schwachstellen werden durch eine unzureichende Validierung des DataSize-Parameters verursacht, der an die UEFI Runtime Services-Funktion GetVariable übergeben wird", erklärt ESET Research in einem Tweet. "Ein Angreifer könnte eine speziell gestaltete NVRAM-Variable erstellen, die einen Pufferüberlauf des Datenpuffers im zweiten GetVariable-Aufruf verursacht."

Schutzmaßnahmen umgehen

In diesem Fall wurden die Schwachstellen als nicht schwerwiegend eingestuft, da ihre Ausnutzung unwahrscheinlich ist. Angriffe auf die UEFI-Firmware sind extrem gefährlich, da sie es Bedrohungsakteuren ermöglichen, Malware schon früh im Boot-Prozess eines Betriebssystems auszuführen, noch bevor die in Windows integrierten Sicherheitsvorkehrungen aktiviert sind. Schadsoftware umgeht damit die Sicherheitsvorkehrungen oder deaktiviert einfach selbst Antivirenprogramme.

Lenovo stellt für die betroffenen Modelle ein Update bereit. Informationen dazu gibt es auf einer extra eingerichteten Support-Website, inklusive einer Tabelle mit den betroffenen Produkten.

Siehe auch: