联想推出最新固件修复三个UEFI漏洞

联想公布出最新固件修复三个UEFI漏洞。ESET 早在 2021 年 10 月就向联想报告了上述漏洞，因此部分设备已经获得修复补丁。联想表示：“联想感谢 ESET 提请我们注意一些消费类笔记本电脑制造中使用的驱动程序问题。驱动程序已修复，并且按照 Lenovo 公告中所述进行更新的客户受到保护。三个漏洞都是 ESET 的研究人员发现的，其中两个允许攻击者关闭储存 UEFI 固件的 SPI 闪存芯片的安全保护，关闭 UEFI Secure Boot 功能。第三个漏洞则允许本地攻击者提权执行任意代码。三个漏洞影响超过 100 个型号联想笔记本电脑，其中包括 IdeaPad 3、Legion 5 Pro-16ACH6 H 和 Yoga Slim 9-14ITL05，受影响用户数以百万计。攻击者需要从本地利用这些漏洞，因此利用的门槛相当高。尽管如此，用户应该尽快更新固件。