UEFI-Firmware-Update: Sicherheitslücke umgeht Lenovo Secure Boot

Der Computer-Hersteller Lenovo hat zwei schwerwiegende Sicherheitslücken geschlossen, die es Angreifern ermöglichen, unentdeckt Geräte mit Schadsoftware zu infizieren. Betroffen sind verschiedene ThinkBook-, IdeaPad- und Yoga-Laptop-Modelle. Lenovo empfiehlt daher, jetzt dringend die neu verfügbaren UEFI-Firmware-Updates einzuspielen. Die betroffene Lenovo UEFI-Software war dabei gar nicht für den Produktiv-Betrieb gedacht und ist laut dem Hersteller unabsichtlich veröffentlicht worden.

Die darin enthaltenen Sicherheitslücken können es Angreifern ermöglichen, UEFI Secure Boot zu deaktivieren, sodass sie unbemerkt in das System ihrer Opfer gelangen, ohne dass eine Sicherheitsprüfung anschlägt.

Verifizierungssystem ohne Wirkung

UEFI Secure Boot ist das Verifizierungssystem, das sicherstellt, dass während des Bootvorgangs des Computers kein bösartiger Code geladen und ausgeführt werden kann. Wenn diese Überprüfung ausgehebelt wird, kann auch unsignierter, bösartiger Code ausgeführt werden. Infografik: Viren sind immer noch die größte Cyber-Bedrohung Angreifer umgehen so alle Sicherheitsvorkehrungen und können quasi unbemerkt Malware einzuschleusen, die auch bei einer Neuinstallation des Betriebssystems bestehen bleibt. Microsoft hatte bereits vor dem Fehler gewarnt. Das Problem ist darauf zurückzuführen, dass Lenovo versehentlich einen frühen Entwicklungstreiber in die endgültigen Produktionsversionen aufgenommen hat, der die Einstellungen für den sicheren Systemstart ändern konnte, heißt es jetzt in der Dokumentation zu den Schwachstellen.

Das bedeutet aber auch, dass die Schwachstellen nicht auf einen regulären Fehler im Code zurückzuführen sind, sondern auf einen praktischen Fehler, der darin besteht, dass der falsche Treiber ausgeliefert wurde. Dass dies passiert war, hatten ESET-Forscher entdeckt und an Lenovo gemeldet.


Es gibt noch eine dritte Schwachstelle ähnlicher Art, die als CVE-2022-3432 verfolgt wird und nur das IdeaPad Y700-14ISK betrifft. Lenovo wird diese Schwachstelle nicht beheben, da das betroffene Produkt das Ende seiner Lebensdauer (EOL) erreicht hat.

Besitzer von unterstützten Lenovo-Computern können die Modellliste im Sicherheitsbulletin des Herstellers überprüfen, um festzustellen, ob sie von einer der Schwachstellen betroffen sind und es Sicherheits-Updates gibt.

Siehe auch: