Equipos Lenovo de nuevo en peligro por vulnerabilidades en la UEFI. Esta vez han sido tres vulnerabilidades que podrían dejar a los equipos comprometidos para siempre.

Lenovo viene sufriendo los fallos de programación existentes en UEFI traducidos en vulnerabilidades que afectan al sistema UEFI de sus equipos desde hace varios años. Como ya informamos en este mismo blog, sucesos similares por vulnerabilidades en UEFI afectaron a Lenovo en agosto de 2017 y más recientemente el pasado mes de abril.

En esta ocasión, Lenovo ha publicado las actualizaciones correspondientes para los más de 70 modelos afectados (consultar la lista de modelos afectados) por estas vulnerabilidades que afectan al sistema UEFI de sus equipos. Las tres vulnerabilidades críticas mencionadas han sido enumeradas como CVE-2022-1890, CVE-2022-1891 y CVE-2022-1892.

Las tres vulnerabilidades según las pruebas reportadas son susceptibles a un desbordamiento de búfer (buffer overflow) que permitiría a un atacante la ejecución de código. Un peligro adicional al que la afectación sea al sistema UEFI es que si el equipo ha sido comprometido con persistencia, ni siquiera el formatear o cambiar de disco duro va a solucionar el problema ya que el sistema UEFI reside directamente en la ROM de la placa base de los equipos y no en los dispositivos de almacenamiento.

Se insta a todos los usuarios afectados a actualizar el firmware de sus dispositivos a fin de corregir estas vulnerabilidades. Tampoco viene mal recordar que es recomendable tener unas medidas de seguridad mínimas a fin de reducir o evitar cualquier tipo de acceso no deseado a los equipos de forma local, como puede ser el uso de clave en el arranque o bios, secure-boot y cifrado de unidades locales y extraibles. Esta lista puede ser más extensa y detallada dando origen a un artículo técnico destinado a consejos de hardening de equipos que podrá estar disponible en este blog en breve.

Más información:

https://support.lenovo.com/sk/en/product_security/len-91369

Libros recomendados

Arduino para Hackers

Hacking Windows

Hacking de dispositivos iOS