レノボ、「IdeaPad」など多数のノートPCに影響する脆弱性3件を修正

今回は「レノボ、「IdeaPad」など多数のノートPCに影響する脆弱性3件を修正」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 レノボは、UEFI関連の攻撃に悪用されるおそれのある3件の脆弱性を修正した。

 セキュリティ企業ESETの研究者であるMartin Smolar氏らが発見したこれらの脆弱性(共通脆弱性識別子は「CVE-2021-3970」「CVE-2021-3971」「CVE-2021-3972」)は、レノボのノートPCのBIOSで、「『LoJax』または(中略)『ESPecter』のような形で、SPIフラッシュやEFIシステムパーティション(ESP)への埋め込みを行って実行する」のに悪用されるおそれがある。

 UEFIを利用したサイバー攻撃では、不正な操作が起動プロセスの初期段階で読み込まれる。このため、マルウェアによって設定データが改ざんされたり、OS段階で有効となるセキュリティ対策が回避されるおそれがある。

 ESETによる現地時間4月19日の発表によると、「CVE-2021-3971」と「CVE-2021-3972」は、製品の製造段階でのみ使われることを想定していたドライバーが原因であり、「世界中に何百万人ものユーザーがいる100機種以上の消費者向けノートPC」に影響するという。

 影響を受ける製品には、「IdeaPad」「Legion」「Flex」および「Yoga」シリーズのノートPCが含まれる。

 CVE-2021-3970は「LenovoVariable SMI Handler」に存在し、一部モデルで検証が不十分だったことに起因する。これにより、攻撃者がローカルでアクセスした場合、特権昇格して任意のコードを実行できてしまうおそれがある。

 CVE-2021-3971とCVE-2021-3972は、「SecureBackDoor」と「SecureBackDoorPeim」という名称のドライバーに関連するものだ。

 レノボはCVE-2021-3971について、「レノボの一部の消費者向けノートPCで古い製造プロセス中に使用されるドライバーの潜在的な脆弱性であり、BIOSイメージに誤って組み込まれた。昇格された特権を持つ攻撃者がNVRAM変数を改ざんして、ファームウェア保護領域を改ざんすることが可能になるおそれがある」と説明している。

 CVE-2021-3972については、「レノボの一部の消費者向けノートPCで製造プロセス中に使用されるドライバーの潜在的な脆弱性であり、誤って無効化されないままになっていた。昇格された特権を持つ攻撃者がNVRAM変数を改ざんして、セキュアブート設定を改ざんすることが可能になるおそれがある」と説明している。

 レノボはアドバイザリーを公開している。ESETはユーザーに対し、影響を受けたデバイスのリストを確認し、ファームウェアをアップデートするよう推奨している。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
ビックカメラがAWSやSalesforceなど採用–「DX宣言」で良質な顧客体験を創出
IT関連
2022-06-15 10:35
CTC、金融機関向けのデジタルマーケティング評価サービスを提供
IT関連
2023-06-10 18:37
パスワード付きZIPファイルのメール送信は何が問題なのか “本当に意味のあるセキュリティ対策”を考える
PR
2021-03-20 04:02
画面と時間の争奪戦……動画配信サービス、独自色で国内勢攻勢
IT関連
2021-02-15 04:18
Saviynt、アイデンティティー管理を高度化する新製品群を発表
IT関連
2024-09-13 08:59
どこが勝ち抜く? 携帯3社の“2980円競争” 各社の新料金プランを比較 (1/2 ページ)
くわしく
2021-01-29 20:01
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか?
FIDO/WebAuthn
2022-06-13 21:48
日立産業制御ソリューションズ、設備統合監視制御システム「Integrate SCADA」提供
IT関連
2024-04-09 19:53
GAFAの一角など売上高が急増–ネット広告への本格移行のための情報ソースとは?
IT関連
2021-08-23 10:44
日本電波工業、「RISE with SAP」を採用
IT関連
2022-11-25 18:57
みずほのQR決済「J-Coin Pay」セブン-イレブンで利用可能に
企業・業界動向
2021-07-17 12:11
アステリア、商談支援アプリ「Handbook X」–アプリを切り替えずに説明
IT関連
2022-03-02 17:41
第3回:MIXI 島村CFOが語る、事業会社で起こる“意思決定変革”の波
IT関連
2023-08-10 04:55
富士通のデジタルアニーラで開発したアルゴリズム、有効性を確認–投資ポートフォリオの最適化検証で
IT関連
2022-12-27 20:54