レノボ、「IdeaPad」など多数のノートPCに影響する脆弱性3件を修正

今回は「レノボ、「IdeaPad」など多数のノートPCに影響する脆弱性3件を修正」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 レノボは、UEFI関連の攻撃に悪用されるおそれのある3件の脆弱性を修正した。

 セキュリティ企業ESETの研究者であるMartin Smolar氏らが発見したこれらの脆弱性(共通脆弱性識別子は「CVE-2021-3970」「CVE-2021-3971」「CVE-2021-3972」)は、レノボのノートPCのBIOSで、「『LoJax』または(中略)『ESPecter』のような形で、SPIフラッシュやEFIシステムパーティション(ESP)への埋め込みを行って実行する」のに悪用されるおそれがある。

 UEFIを利用したサイバー攻撃では、不正な操作が起動プロセスの初期段階で読み込まれる。このため、マルウェアによって設定データが改ざんされたり、OS段階で有効となるセキュリティ対策が回避されるおそれがある。

 ESETによる現地時間4月19日の発表によると、「CVE-2021-3971」と「CVE-2021-3972」は、製品の製造段階でのみ使われることを想定していたドライバーが原因であり、「世界中に何百万人ものユーザーがいる100機種以上の消費者向けノートPC」に影響するという。

 影響を受ける製品には、「IdeaPad」「Legion」「Flex」および「Yoga」シリーズのノートPCが含まれる。

 CVE-2021-3970は「LenovoVariable SMI Handler」に存在し、一部モデルで検証が不十分だったことに起因する。これにより、攻撃者がローカルでアクセスした場合、特権昇格して任意のコードを実行できてしまうおそれがある。

 CVE-2021-3971とCVE-2021-3972は、「SecureBackDoor」と「SecureBackDoorPeim」という名称のドライバーに関連するものだ。

 レノボはCVE-2021-3971について、「レノボの一部の消費者向けノートPCで古い製造プロセス中に使用されるドライバーの潜在的な脆弱性であり、BIOSイメージに誤って組み込まれた。昇格された特権を持つ攻撃者がNVRAM変数を改ざんして、ファームウェア保護領域を改ざんすることが可能になるおそれがある」と説明している。

 CVE-2021-3972については、「レノボの一部の消費者向けノートPCで製造プロセス中に使用されるドライバーの潜在的な脆弱性であり、誤って無効化されないままになっていた。昇格された特権を持つ攻撃者がNVRAM変数を改ざんして、セキュアブート設定を改ざんすることが可能になるおそれがある」と説明している。

 レノボはアドバイザリーを公開している。ESETはユーザーに対し、影響を受けたデバイスのリストを確認し、ファームウェアをアップデートするよう推奨している。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
香港、国安法でネット初封鎖 政府批判、さらに困難に
IT関連
2021-01-20 15:54
AIはソフトウェア開発の協調作業でチームプレーヤーになれるか
IT関連
2024-03-14 17:59
VMwareが「Tanzu Application Engine」発表、Kubernetes上に抽象化されたアプリケーション基盤を提供。VMware Explore 2023
Kubernetes
2023-08-24 21:31
セキュリティと事業継続、より良い働き方を目指すスカパーJSATや大阪府立病院機構の取り組み
IT関連
2025-03-01 23:50
サイボウズ、クラウドサービス料金を値上げ–大企業向けプラン新設も
IT関連
2024-06-01 16:03
NewSQLは金融システムのミッションクリティカルで高セキュリティな要件に応えられるか? TISが評価結果を明らかに[PR]
PR
2022-12-14 03:27
NECとNXHD、フォークリフトに後付けで自律遠隔搬送を可能にするソリューション
IT関連
2023-08-30 20:40
自動運転シャトルバスの仏EasyMileが72.5億円を調達
モビリティ
2021-04-30 01:40
パスワード流出を確認できる「Have I been Pwned」がオープンソース化へ–FBIと連携も
IT関連
2021-06-01 03:07
財務や法務の専門家も生成AIに期待、ネックはAI利用に伴うリスク
IT関連
2023-06-30 08:06
AWS、コンテナにWebアプリを置くと簡単にデプロイが完了する「App Runner」リリース。オートスケール、ロードバランス、証明書の管理などすべておまかせ
AWS
2021-05-24 18:00
「Linux」で「AppImage」を使ってアプリを実行するには
IT関連
2023-06-23 08:44
スカイマティクスが定量・定性データの地図表現を自動生成できるクラウド型サービス「SEKAIZ」提供開始
ネットサービス
2021-05-11 23:10
高速プロトコル「QUIC」、IETFが標準として承認
IT関連
2021-05-31 16:45