Les PC portables Lenovo ont récemment reçu une mise à jour de sécurité comblant trois failles exploitant des vulnérabilités du firmware. Les attaques qu'elles permettaient sont qualifiées de dangereuses par un expert à l'origine de leur découverte.
Des millions d'ordinateurs portables des gammes Flex, IdeaPad, Legion, V14, V15, V17 et Yoga du constructeur Lenovo étaient vulnérables à trois failles de sécurité pouvant permettre à des pirates de diffuser et d'exécuter du code malveillant sur les machines.
Des vulnérabilités au niveau du micrologiciel
Les trois vulnérabilités sont liées à l'UEFI (Unified Extensible Firmware Interface). Selon le chercheur en sécurité Martin Smolár, de la société ESET, les menaces de ce type sont « extrêmement furtives et dangereuses ».
Il explique qu'elles sont exécutées au début du processus de démarrage, avant même que le système d'exploitation prenne la main. Elles peuvent donc contourner presque toutes les mesures de sécurité, et sont à la fois difficiles à repérer et à supprimer.
La première faille, CVE-2021-3970, est relative à une corruption de la mémoire dans le System Management Mode (SMM) du firmware, pouvant entraîner l'exécution de code malveillant avec les privilèges les plus élevés.
Des correctifs ont été déployés
Les deux autres vulnérabilités, CVE-2021-3971 et CVE-2021-3972, affectent des pilotes du micrologiciel qui étaient initialement destinés à être utilisés uniquement pendant le processus de fabrication des PC portables de Lenovo, apprend-on. D'après Martin Smolár, ces pilotes ont été inclus par erreur dans les images du BIOS des unités commercialisées et sont restés actifs.
Ces deux failles de sécurité peuvent permettre à un pirate de désactiver des protections SPI ou le Secure Boot de l'UEFI dans le but d'installer des malwares survivant au redémarrage du système.
Lenovo a été mis au courant de l'existence de ces trois vulnérabilités le 11 octobre 2021. Le fabricant a publié des patchs correctifs le 12 avril 2022. Si vous avez conservé les services Lenovo préinstallés sur votre PC portable, vous devriez avoir reçu la mise à jour sans intervention. Dans le cas contraire, nous vous conseillons d'installer le correctif manuellement ou de télécharger l'utilitaire System Update de Lenovo.
Source : WeliveSecurity
