BDU:2022-02346 (CVE-2022-1108) — уязвимость интерфейса LenovoFlashDeviceInterface обработчика System Management Interrupt (SMI) системы BIOS

По данным БДУ ФСТЭК России, по состоянию на 18.04.2022.

Уязвимость интерфейса LenovoFlashDeviceInterface обработчика System Management Interrupt (SMI) системы BIOS микропрограммного обеспечения ноутбуков ThinkPad связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с повышенными привилегиями путем запуска специально созданной программы

Кого касается и что делать

• Уязвимое ПО: ThinkPad X1 Fold Gen 1 20RK (Lenovo Group) — версии до N2PET50W; ThinkPad X1 Fold Gen 1 20RL (Lenovo Group) — версии до N2PET50W
• Что делать: уязвимость устранена производителем — применить исправления: support.lenovo.com

Сведения об уязвимости

Идентификаторы	BDU:2022-02346 · CVE-2022-1108
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 6.8)
Вектор CVSS 3.1	AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость интерфейса LenovoFlashDeviceInterface обработчика System Management Interrupt (SMI) системы BIOS микропрограммного обеспечения ноутбуков ThinkPad, позволяющая нарушителю выполнить произвольный код с повышенными привилегиями
Даты	Опубликована: 18.04.2022 · Обновлена ФСТЭК: 18.04.2022 · Выявлена: 12.04.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-119 — выход операции за границы буфера в памяти
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

• ThinkPad X1 Fold Gen 1 20RK (Lenovo Group) — до N2PET50W · микропрограммный код
• ThinkPad X1 Fold Gen 1 20RL (Lenovo Group) — до N2PET50W · микропрограммный код

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций производителя
• support.lenovo.com/us/en/product_security/LEN-84943

Источники

• support.lenovo.com/us/en/product_security/LEN-84943
• www.cybersecurity-help.cz/vdb/SB2022041313