Diversi modelli presentano falle nel BIOS a causa di driver che sarebbero dovuti essere disattivati.
Se avete un portatile Lenovo ci sono buone probabilità che dobbiate aggiornare il firmware: a causa di una “distrazione” da parte del produttore, il vostro laptop potrebbe essere tra quelli il cui firmare UEFI contiene una o più vulnerabilità.
La scoperta è stata fatta già lo scorso ottobre da ESET, che ha individuato tre falle – CVE-2021-3970, CVE-2021-3971, e CVE-2021-3972 – e ha poi avvisato Lenovo rimandando fino a ora l’annuncio pubblico delle vulnerabilità per dare tempo al produttore di correre ai ripari.
I modelli di computer che sono affetti da una o più di queste falle sono davvero molti – la lista completa è sul sito ufficiale – e ciò significa che in circolazione ci sono milioni di prodotti vulnerabili.
Secondo quanto riporta ESET, nel firmware dei modelli interessati dal problema sono stati inclusi per errore dei driver che normalmente vengono utilizzati soltanto durante la fase di produzione dei notebook e che poi vengono disattivati.
A quanto pare ciò non è successo e ciò significa che, sfruttando questi driver, è possibile intervenire sul firmware UEFI: si può eseguire ogni genere di operazione, come per esempio disabilitare il Secure Boot o avviare il ripristino delle impostazioni di fabbrica.
Fortunatamente, per eseguire queste operazioni è necessario avere un account utente con privilegi di amministratore e pertanto un malintenzionato che volesse da remoto sfruttare le tre debolezze deve avere già ottenuto in altra maniera accesso alla macchina presa di mira.
Per la maggior parte dei dispositivi coinvolti nel problema è già disponibile un aggiornamento del firmware che, indipendentemente dalla facilità con cui è possibile sfruttare le falle, consigliamo di installare al più presto.
I modelli per i quali non è ancora disponibile l’update – come per esempio l’ Ideapad Flex 3-11ADA05 – riceveranno l’aggiornamento non prima del prossimo 10 maggio. Tutti gli utenti di prodotti Lenovo possono verificare se il proprio dispositivo sia tra quelli che necessitano di un aggiornamento sulla pagina dedicata.
