联想笔记本电脑再次出现UEFI安全漏洞 影响70余款机型可被用来劫持系统
4月份的时候国外安全公司ESET在联想笔记本电脑的UEFI固件里发现3枚漏洞，攻击者利用漏洞可以在闪存中植入恶意软件，当时有数百款联想笔记本电脑受影响。
日前ESET的研究人员再次在联想UEFI固件里发现漏洞，这次同样是3枚漏洞，影响70余款联想笔记本电脑。
据研究人员透露，攻击者利用漏洞可以赶在开机早期阶段执行任意代码，从而直接劫持操作系统的执行流程，例如关闭某些重要的安全功能，为后续的入侵做准备。
这3枚漏洞分别是CVE-2022-1890、CVE-2022-1891以及CVE-2022-1892，分别位于联想UEFI固件上的ReadyBootDxe、SystemLoadDefaultDxe、SystemBootManagerDxe驱动程序里，可以让具有本地权限的攻击者提权然后执行任意代码。
从这里可以看出来，要想执行攻击首先得获得本地访问权限，所以攻击者想要借助漏洞发起大规模攻击是有难度的，但发起针对性的攻击是可以的，所以联想对漏洞的评级都是中等。
当然研究人员公布漏洞也意味着漏洞已经得到修复，现在用户只需要去联想官网下载BIOS驱动程序更新即可，受影响的设备列表也可以在联想官网查询。
最后还要多说两句：如果不是高安全设备建议等等再更新BIOS驱动程序，上次联想发的驱动就导致部分设备黑屏和无法启动，所以等等先观察下情况比较好。
受影响的设备列表：https://support.lenovo.com/sk/en/product_security/len-91369#Lenovo%20Notebook
驱动程序下载地址：https://support.lenovo.com/
