СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
08.07.2025

BDU:2025-11584 (CVE-2025-0886) — уязвимость модуля Elliptic Labs Virtual Lock Sensor микропрограммного обеспечения ноутбуков ThinkPad

По данным БДУ ФСТЭК России, по состоянию на 24.09.2025.

Средний — 6.5/10 Устранена

Уязвимость модуля Elliptic Labs Virtual Lock Sensor микропрограммного обеспечения ноутбуков ThinkPad связана с неверными разрешениями. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии

Кого касается и что делать

  • Уязвимое ПО: P1 Gen 6 (Type 21FV, 21FW) Laptop (ThinkPad) (Lenovo Group) — версии до 1000.100.108.548; P1 Gen 7 (Type 21KV, 21KW) Laptop (ThinkPad) (Lenovo Group) — версии до 1000.100.108.801; P14s Gen 4 (Type 21HF, 21HG) Laptop (ThinkPad) (Lenovo Group) — версии до 1000.100.108.858; и ещё 30 позиций
  • Что делать: уязвимость устранена производителем — применить исправления: support.lenovo.com

Сведения об уязвимости

Идентификаторы BDU:2025-11584 · CVE-2025-0886
Уровень опасности Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 4.6)
Вектор CVSS 3.1 AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность
Наименование ФСТЭК Уязвимость модуля Elliptic Labs Virtual Lock Sensor микропрограммного обеспечения ноутбуков ThinkPad, позволяющая нарушителю повысить свои привилегии
Даты Опубликована: 24.09.2025 · Обновлена ФСТЭК: 24.09.2025 · Выявлена: 08.07.2025
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-276 — неправильные стандартные разрешения
Класс уязвимости Уязвимость кода · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

  • P1 Gen 6 (Type 21FV, 21FW) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.548 · микропрограммный код
  • P1 Gen 7 (Type 21KV, 21KW) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • P14s Gen 4 (Type 21HF, 21HG) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.858 · микропрограммный код
  • P14s Gen 4 (Type 21K5, 21K6) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.1893 · микропрограммный код
  • P14s Gen 5 (Type 21G2, 21G3) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • P14s Gen 5 (Type 21ME, 21MF) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.6136 · микропрограммный код
  • P16 Gen 2 (Type 21FA, 21FB) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.774 · микропрограммный код
  • P16s Gen 2 (Type 21HK, 21HL) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.858 · микропрограммный код
  • P16s Gen 2 (Type 21K9, 21KA) Laptop (ThinkPad) (Lenovo Group) — версии до 1000.100.108.1893, до 1000.100.106.2391 · микропрограммный код
  • P16s Gen 3 (Type 21KS, 21KT) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • P16v Gen 1 (Type 21FC, 21FD) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.900 · микропрограммный код
  • P16v Gen 1 (Type 21FE, 21FF) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.2235 · микропрограммный код
  • P16v Gen 2 (Type 21KX, 21KY) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • T14 Gen 3 (Type 21AH, 21AJ) Laptop (ThinkPad) (Lenovo Group) — до 3.2.61209.5 · микропрограммный код
  • T14 Gen 3 (Type 21CF, 21CG) Laptop (ThinkPad) (Lenovo Group) — до 3.2.61209.5 · микропрограммный код
  • T14 Gen 4 (Type 21HD, 21HE) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.858 · микропрограммный код
  • T14 Gen 4 (Type 21K3, 21K4) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.1893 · микропрограммный код
  • T14 Gen 5 (Type 21MC, 21MD) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.6136 · микропрограммный код
  • T14 Gen 5 (Type 21ML, 21MM) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • T14s Gen 4 (Type 21F6, 21F7) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.858 · микропрограммный код
  • T14s Gen 4 (Type 21F8, 21F9) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.1893 · микропрограммный код
  • T14s Gen 5 (Type 21LS, 21LT) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • T14s Gen 6 (Type 21M1, 21M2) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.109.82 · микропрограммный код
  • T16 Gen 2 (Type 21HH, 21HJ) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.858 · микропрограммный код
  • T16 Gen 2 (Type 21K7, 21K8) Laptop (ThinkPad) (Lenovo Group) — версии до 1000.100.108.1893, до 1000.100.106.2391 · микропрограммный код
  • T16 Gen 3 (Type 21MN, 21MQ) Laptops (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • X1 2-in-1 Gen 9 (Type 21KE, 21KF) Laptop (ThinkPad) (Lenovo Group) — до N3YUS12W_V2 (1000.100.108.801) · микропрограммный код
  • X1 Carbon 12th Gen (Type 21KC, 21KD) Laptop (ThinkPad) (Lenovo Group) — до N3YUS12W_V2 (1000.100.108.801) · микропрограммный код
  • X13 2-in-1 Gen 5 (Type 21LW, 21LX) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • X13 Gen 4 (Type 21EX, 21EY) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.761 · микропрограммный код
  • X13 Gen 4 (Type 21J3, 21J4) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.2234 · микропрограммный код
  • X13 Gen 5 (Type 21LU, 21LV) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.801 · микропрограммный код
  • X13 Yoga Gen 4 (Type 21F2, 21F3) Laptop (ThinkPad) (Lenovo Group) — до 1000.100.108.761 · микропрограммный код

Возможные меры по устранению уязвимости

Обновление.

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных