PC portables Lenovo : une nouvelle mise à jour du BIOS permet de corriger 3 vulnérabilités
Lenovo a mis en ligne une nouvelle version de BIOS pour certains modèles d'ordinateurs portables dans le but de corriger trois failles de sécurité découvertes par un chercheur en sécurité d'ESET.
En avril, Martin Smolár, un chercheur en sécurité de chez ESET, a fait la découverte de trois failles de sécurité présentes dans le BIOS de certaines machines ESET. Ces vulnérabilités sont associées aux références suivantes : CVE-2022-3430, CVE-2022-3431, et CVE-2022-3432. D'ailleurs, en avril dernier, il avait découvert un autre ensemble de vulnérabilités, toujours dans les appareils Lenovo et toujours au niveau du firmware. Ces trois premières vulnérabilités ont été corrigées dans la foulée, tandis que pour celles évoquées dans cet article, cela vient d'être fait par Lenovo.
Au sein du bulletin de sécurité de Lenovo, on peut en apprendre plus sur ces trois failles de sécurité, et notamment sur les appareils impactés.
- CVE-2022-3430 : cette vulnérabilité située dans le pilote WMI Setup, peut permettre, à un attaquant disposant de privilèges élevés, de modifier la configuration du démarrage sécurisé en modifiant une variable NVRAM.
- CVE-2022-3431 : cette vulnérabilité située dans un pilote utilisé pendant la fabrication du matériel peut permettre, à un attaquant disposant de privilèges élevés, de modifier la configuration du démarrage sécurisé en modifiant une variable NVRAM.
- CVE-2022-3432 : cette vulnérabilité affecte uniquement le modèle Ideapad Y700-14ISK et comme il n'est plus sous support, Lenovo ne fournira pas de correctif !
Ces vulnérabilités impliquent d'avoir des privilèges élevés sur la machine, donc l'intérêt, c'est probablement de pouvoir s'en prendre au BIOS de la machine de manière à positionner un logiciel malveillant persistant, notamment en altérant la configuration du Secure Boot.
La liste des appareils concernés est relativement longue. Voici quelques modèles cités par Lenovo : IdeaPad 5 Pro, ThinkBook 13x, ThinkBook 14 G4, ThinkBook 15 G4, Yoga Slim 7, IdeaPad Creator 5, etc... N'hésitez pas à vérifier sur le site de Lenovo, tout en sachant qu'un appareil peut être affecté par une vulnérabilité, mais pas à une autre.
Des mises à jour de BIOS sont disponibles dès à présent sur le site de Lenovo : à vos mises à jour !
