Lỗi khởi tạo BIOS cho phép thực thi mã với quyền cao trên Lenovo ThinkPad

Một lỗ hổng tiềm ẩn do khởi tạo không đúng đã được báo cáo trong BIOS của một số ThinkPad, có thể cho phép người dùng cục bộ có quyền cao sửa đổi dữ liệu và thực thi mã tùy ý.

Bản ghi chuẩn hóa đặt trạng thái mặc định là unaffected và liệt kê các phạm vi sau là affected:

• Lenovo ThinkPad T14 Gen 5 BIOS: phiên bản từ 0 đến 1.17, bao gồm 1.17.
• Lenovo ThinkPad P14s Gen 5 BIOS: phiên bản từ 0 đến 1.17, bao gồm 1.17.
• Lenovo ThinkPad Z13 Gen 2 BIOS: phiên bản từ 0 đến 1.37, bao gồm 1.37.
• Lenovo ThinkPad Z16 Gen 2 BIOS: phiên bản từ 0 đến 1.37, bao gồm 1.37.
• Lenovo ThinkPad P16v Gen 1 BIOS: phiên bản từ 0 đến 1.62, bao gồm 1.62.
• Lenovo ThinkPad P15v Gen 3 BIOS: phiên bản từ 0 đến 1.28, bao gồm 1.28.
• Lenovo ThinkPad Z13 Gen 1 BIOS: phiên bản từ 0 đến 1.76, bao gồm 1.76.
• Lenovo ThinkPad Z16 Gen 1 BIOS: phiên bản từ 0 đến 1.76, bao gồm 1.76.

Hồ sơ không cung cấp một ranh giới phiên bản sửa lỗi duy nhất áp dụng cho cả tám nhánh. Trạng thái của các nhánh hoặc cấu hình không được liệt kê nên được xác minh theo model và hướng dẫn Product Impact của Lenovo.

Đây là lỗi Improper Initialization, được phân loại là CWE-665, trong BIOS firmware của các mẫu Lenovo ThinkPad bị ảnh hưởng. Ở mức khái quát, một trạng thái hoặc giá trị mà BIOS yêu cầu có thể không được khởi tạo đúng, nhưng hồ sơ không nêu đối tượng, đường dẫn mã hoặc điều kiện cấu hình cụ thể gây ra lỗi. Kẻ tấn công cần là người dùng cục bộ đã có quyền cao trên thiết bị; khai thác được đánh giá có độ phức tạp thấp và không cần tương tác của người dùng khác. Kết quả được nêu là sửa đổi dữ liệu và thực thi mã tùy ý. Hồ sơ không xác định input do kẻ tấn công kiểm soát, giao diện BIOS cụ thể, hay việc thao tác được thực hiện từ hệ điều hành, môi trường pre-boot hoặc thành phần khác.

• Lỗ hổng có khả năng bị khai thác cục bộ, không phải một điểm vào mạng được mô tả trong hồ sơ.
• Kẻ tấn công phải có quyền cao trên thiết bị; hồ sơ không yêu cầu người dùng khác tương tác.
• Độ phức tạp được ghi nhận là thấp.
• Bản ghi được cung cấp không xác định public exploit; trường known-exploited không được đánh dấu. Điều này không chứng minh rằng chưa từng có hoạt động khai thác ngoài phạm vi bằng chứng hiện có.
• Không có exploit code, chiến dịch, nạn nhân hoặc đường đi khai thác cụ thể nào được công bố trong bằng chứng đã kiểm tra.

Lỗ hổng có thể dẫn đến sửa đổi dữ liệu và thực thi mã tùy ý trong phạm vi hệ thống Lenovo ThinkPad bị ảnh hưởng. Các thuộc tính tác động trong bản ghi cho thấy khả năng ảnh hưởng nghiêm trọng đến tính bí mật, toàn vẹn và khả dụng của hệ thống, trong khi tác động thay đổi sang phạm vi bảo mật khác không được xác định. Điều kiện yêu cầu người dùng cục bộ có quyền cao giới hạn khả năng khởi phát từ một tài khoản thông thường hoặc từ mạng, nhưng hậu quả sau khi khai thác thành công vẫn có thể đáng kể. Hồ sơ không chứng minh khả năng persistence, truy cập từ xa, lan truyền ngang hoặc ảnh hưởng đến các hệ thống khác.

• Nếu khai thác thành công, kẻ tấn công có thể sửa đổi dữ liệu và thực thi mã tùy ý trên thiết bị Lenovo ThinkPad bị ảnh hưởng.
• Hậu quả có thể bao gồm mất tính bí mật, toàn vẹn hoặc khả dụng của hệ thống, cùng với nhu cầu cô lập, phục hồi hoặc triển khai lại thiết bị.
• Yêu cầu quyền cục bộ cao làm giảm phạm vi người có thể kích hoạt lỗi, nhưng không loại bỏ rủi ro đối với các máy đã bị tài khoản đặc quyền xâm nhập hoặc bị lạm dụng.
• Bằng chứng không xác định vụ xâm nhập, nạn nhân, chiến dịch, lan truyền sang hệ thống khác hoặc tác động trên toàn bộ đội máy.

1. Cập nhật BIOS của từng model bị ảnh hưởng lên phiên bản mà Lenovo chỉ định cho đúng model trong phần Product Impact của advisory. Không giả định rằng một phiên bản sửa lỗi của nhánh này áp dụng cho nhánh khác.
2. Sau khi cập nhật, xác minh lại phiên bản BIOS trên thiết bị và cập nhật hệ thống inventory. Hồ sơ cung cấp hướng dẫn cập nhật theo model nhưng không nêu một phiên bản cố định chung cho tất cả sản phẩm.
3. Trong thời gian chưa thể cập nhật, hạn chế quyền truy cập cục bộ đặc quyền, chỉ cho phép người dùng tin cậy và bảo vệ quyền truy cập vào thiết lập BIOS bằng mật khẩu mạnh. Đây là biện pháp giảm rủi ro tạm thời, không thay thế firmware update.
4. Với thiết bị không thể cập nhật theo quy trình thông thường, đối chiếu trực tiếp model và nhánh BIOS với hướng dẫn hỗ trợ của Lenovo trước khi đưa ra quyết định vận hành.

1. Lập danh mục các thiết bị Lenovo ThinkPad và ghi nhận chính xác model, machine type nếu có, cùng phiên bản BIOS đang cài đặt.
2. Đối chiếu từng model với các nhánh bị ảnh hưởng trong phần affected_summary. Không dùng ngưỡng của một model cho model khác.
3. Kiểm tra trạng thái triển khai bản cập nhật BIOS do Lenovo cung cấp và xác minh lại phiên bản sau khi bảo trì hoàn tất.
4. Ưu tiên rà soát các thiết bị mà tài khoản cục bộ có quyền cao có thể truy cập hoặc thay đổi cấu hình firmware.
5. Bằng chứng hiện có không cung cấp log event, IOC hoặc dấu hiệu xâm nhập cụ thể. Việc giám sát thay đổi bất thường đối với firmware hoặc dữ liệu hệ thống chỉ là biện pháp thận trọng, và việc không thấy log không chứng minh thiết bị an toàn.