レノボ、「IdeaPad」など多数のノートPCに影響する脆弱性3件を修正

Charlie Osborne (ZDNET.com) 翻訳校正: 編集部

2022-04-20 13:20

 レノボは、UEFI関連の攻撃に悪用されるおそれのある3件の脆弱性を修正した。

 セキュリティ企業ESETの研究者であるMartin Smolar氏らが発見したこれらの脆弱性(共通脆弱性識別子は「CVE-2021-3970」「CVE-2021-3971」「CVE-2021-3972」)は、レノボのノートPCのBIOSで、「『LoJax』または(中略)『ESPecter』のような形で、SPIフラッシュやEFIシステムパーティション(ESP)への埋め込みを行って実行する」のに悪用されるおそれがある。

 UEFIを利用したサイバー攻撃では、不正な操作が起動プロセスの初期段階で読み込まれる。このため、マルウェアによって設定データが改ざんされたり、OS段階で有効となるセキュリティ対策が回避されるおそれがある。

 ESETによる現地時間4月19日の発表によると、「CVE-2021-3971」と「CVE-2021-3972」は、製品の製造段階でのみ使われることを想定していたドライバーが原因であり、「世界中に何百万人ものユーザーがいる100機種以上の消費者向けノートPC」に影響するという。

 影響を受ける製品には、「IdeaPad」「Legion」「Flex」および「Yoga」シリーズのノートPCが含まれる。

 CVE-2021-3970は「LenovoVariable SMI Handler」に存在し、一部モデルで検証が不十分だったことに起因する。これにより、攻撃者がローカルでアクセスした場合、特権昇格して任意のコードを実行できてしまうおそれがある。

 CVE-2021-3971とCVE-2021-3972は、「SecureBackDoor」と「SecureBackDoorPeim」という名称のドライバーに関連するものだ。

 レノボはCVE-2021-3971について、「レノボの一部の消費者向けノートPCで古い製造プロセス中に使用されるドライバーの潜在的な脆弱性であり、BIOSイメージに誤って組み込まれた。昇格された特権を持つ攻撃者がNVRAM変数を改ざんして、ファームウェア保護領域を改ざんすることが可能になるおそれがある」と説明している。

 CVE-2021-3972については、「レノボの一部の消費者向けノートPCで製造プロセス中に使用されるドライバーの潜在的な脆弱性であり、誤って無効化されないままになっていた。昇格された特権を持つ攻撃者がNVRAM変数を改ざんして、セキュアブート設定を改ざんすることが可能になるおそれがある」と説明している。

 レノボはアドバイザリーを公開している。ESETはユーザーに対し、影響を受けたデバイスのリストを確認し、ファームウェアをアップデートするよう推奨している。

この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    迫るISMS新規格への移行期限--ISO/IEC27001改訂の意味と求められる対応策とは

  2. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  3. セキュリティ

    まずは“交渉術”を磨くこと!情報セキュリティ担当者の使命を果たすための必須事項とは

  4. セキュリティ

    いま製造業がランサムウェアに狙われている!その被害の実態と実施すべき対策について知る

  5. セキュリティ

    VPNの欠点を理解し、ハイブリッドインフラを支えるゼロトラストの有効性を確認する

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]