Lenovo の個人向けノート PC、セキュアブートを無効化可能な脆弱性がまた見つかる 22
ストーリー by headless
裏口 部門より
裏口 部門より
Lenovo は 8 日、個人向けノート PC でセキュアブートを無効化可能な UEFI (BIOS) の脆弱性 3 件を公表した
(セキュリティアドバイザリー、
ESET のツイート、
Neowin の記事、
Ars Technica の記事)。
発見した ESET によれば、3 件はいずれも UEFI の DXE ドライバーに存在する脆弱性で、管理者権限を持つ攻撃者が NVRAM 変数を変更することによりセキュアブート無効化などの設定変更が可能になるという。ESET が 4 月に公表した Lenovo の ノート PC の脆弱性と同様、今回の 3 件も製造プロセスでのみ使用することを目的としたドライバーを製品版に含めてしまったことが原因とのこと。
一方、Lenovo は CVE-2022-3430 を WMI Setup ドライバーの潜在的な脆弱性と説明しており、CVE-2022-3431 と CVE-2022-3432 では製造プロセスで使用するドライバーに潜在的な脆弱性が存在し、誤って無効化されなかったと説明している。
これらのうち CVE-2022-3430 または CVE-2022-3431(または両方)の影響を受けるのは国内未発売モデルを含めて計 54 製品。既に修正版ファームウェアアップデートが提供されており、適用すれば問題は解決する。CVE-2022-3432 は影響を受ける Ideapad Y700-14ISK の開発サポートが終了していることから修正版は提供されないとのことだ。
発見した ESET によれば、3 件はいずれも UEFI の DXE ドライバーに存在する脆弱性で、管理者権限を持つ攻撃者が NVRAM 変数を変更することによりセキュアブート無効化などの設定変更が可能になるという。ESET が 4 月に公表した Lenovo の ノート PC の脆弱性と同様、今回の 3 件も製造プロセスでのみ使用することを目的としたドライバーを製品版に含めてしまったことが原因とのこと。
一方、Lenovo は CVE-2022-3430 を WMI Setup ドライバーの潜在的な脆弱性と説明しており、CVE-2022-3431 と CVE-2022-3432 では製造プロセスで使用するドライバーに潜在的な脆弱性が存在し、誤って無効化されなかったと説明している。
これらのうち CVE-2022-3430 または CVE-2022-3431(または両方)の影響を受けるのは国内未発売モデルを含めて計 54 製品。既に修正版ファームウェアアップデートが提供されており、適用すれば問題は解決する。CVE-2022-3432 は影響を受ける Ideapad Y700-14ISK の開発サポートが終了していることから修正版は提供されないとのことだ。
中国政府 (スコア:0)
政府からの指示だったりしてというのは考え過ぎ？
# もっと巧妙にバレない手法でやりそう
Re: (スコア:0)
考え過ぎというか脊髄反射
Re: (スコア:0)
中国製アイロンに無線LAN経由でスパム攻撃をするチップが発見されるぐらいだから、あの国は考えすぎぐらいで丁度よい国。
いねえよなぁ！？ (スコア:0)
未だにセキュリティが重要な場面でLenovo使ってるやついる！？いねえよなぁ！？
# 一応、ネタです
Re: (スコア:0)
ええ、もちろん。 安心安全の国産ブランド。FujitsuがFMVを使用しております。
Re: (スコア:0)
富士通のノートはキーの配列がいいよね。 Lenoveは駄目だ。
Re: (スコア:0)
ThinkPadのキー配列こそ至高
# アレげはキーボードを選ぶし、この返しで良いよね？
Re: (スコア:0)
７段時代の話でしょ？６段アイソレーションになってからはぽっち以上の価値を認めない。
Re: (スコア:0)
左下隅の「Fn」キーがいいのよ
6段アイソレーションはモヤモヤする
Re: (スコア:0)
未だにセキュリティが重要な場面でLenovo使ってるやついる！？いねえよなぁ！？
し、Thinkpadは、Thinkpadだけは別ですからーー
って御仁はいたよね
Re: (スコア:0)
大和研設計ならな
Re: (スコア:0)
実際、今回もThinkPadブランドのPCは非該当なのよね
Re: (スコア:0)
LenovoのPCにはBIOSレベルでWindowsのシステムファイルを上書きする危険な機能があると判明 [gigazine.net]
こういうのがあるのでLenovoだけは元から信用してない。
Re: (スコア:0)
白状するとタイトル見て「またLenovoか」と思った
Re: (スコア:0)
あんなもん安くても買わねえ! とドヤりたいところだが…安くないんだな、これが。なぜ。
Re: (スコア:0)
楽天スーパーディールで50％ポイントバックでいつもレノボのPC並んでるんだけど、ゴミ扱いされてるじゃん
Re: (スコア:0)
そんなのあったんだ…中韓製ゲーム入れる、とか、もうセキュリティとか言ってられない用途もあるので、みてみる
Re: (スコア:0)
Lenovo以外なら安心なのか？
悪目立ちしてるだけで他も似たようなものなのでは。
セキュアブートは飾り (スコア:0)
あんなの飾りです。偉い人にはそれがわからんのですよ。
Re: (スコア:0)
世を忍ぶ仮の姿かと思った。ばれちゃだめだろ。
PCの中ではThinkPadとLAVIEとFMVよいよね (スコア:0)
＿人人人人人人人人人＿
＞ 全部レノボ傘下 ＜
￣Ｙ＾Ｙ＾Ｙ＾Ｙ＾Ｙ￣
Re: (スコア:0)
そこでdynabookですよ(震え声)