【漏洞通告】Lenovo ThinkPad BIOS多个安全漏洞
发布时间 2023-01-05
0x00 漏洞概述
1月3日，Lenovo（联想）发布安全更新，修复了ThinkPad X13s BIOS中的多个安全漏洞，本地用户可利用这些漏洞导致内存损坏或敏感信息泄露。
0x01 漏洞详情
Lenovo是一家全球知名的ICT科技企业，也是全球智能设备的领导厂商之一。
本次ThinkPad X13s BIOS更新中共修复了如下漏洞：
CVE-ID | 类型 | 评分 | 受影响产品/组件 | 描述 |
CVE-2022-40516 | 基于堆栈的缓冲区溢出导致内存损坏 | 8.4 | Qualcomm BIOS | 本地用户可利用这些漏洞导致内存损坏、拒绝服务或任意代码执行。 |
CVE-2022-40517 | ||||
CVE-2022-40520 | ||||
CVE-2022-40518 | 缓冲区过度读取 | 6.8 | Qualcomm BIOS | 本地用户可利用这些漏洞导致信息泄露。 |
CVE-2022-40519 | ||||
CVE-2022-4432、CVE-2022-4433、CVE-2022-4434、CVE-2022-4435 | 缓冲区过度读取 | None | ThinkPad X13s BIOS | 本地用户可利用这些漏洞导致信息泄露。 |
影响范围
ThinkPad X13s BIOS 版本 < 1.47 (N3HET75W)
0x02 安全建议
目前这些漏洞已经修复，Lenovo ThinkPad X13s用户可将BIOS更新到1.47 (N3HET75W)版本。
下载链接：
https://pcsupport.lenovo.com/us/en/products/laptops-and-netbooks/thinkpad-x-series-laptops/thinkpad-x13s-type-21bx-21by/downloads/ds556845-bios-update-utility-bootable-cd-for-windows-11-thinkpad-x13s-gen-1-type-21bx-21by?category=BIOS%2FUEFI
注：CVE-2022-40516 - CVE-2022-40520也影响了联想 ThinkPad X13s 笔记本电脑，这些漏洞也在BIOS版本 1.47 (N3HET75W)中修复。
0x03 参考链接
https://support.lenovo.com/us/en/product_security/LEN-103709
https://docs.qualcomm.com/product/publicresources/securitybulletin/january-2023-bulletin.html
https://thehackernews.com/2023/01/qualcomm-chipsets-and-lenovo-bios-get.html
0x04 版本信息
版本 | 日期 | 修改内容 |
V1.0 | 2023-01-05 | 首次发布 |
0x05 附录
公司简介
启明星辰成立于1996年，是由留美博士严望佳女士创建的、拥有完全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决方案的领航企业之一。
公司总部位于北京市中关村软件园启明星辰大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、市、自治区设立分支机构六十多个，拥有覆盖全国的销售体系、渠道体系和技术支持体系。公司于2010年6月23日在深圳中小板挂牌上市。（股票代码：002439）
多年来，启明星辰致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业领军品牌而不懈努力。
关于我们
启明星辰安全应急响应中心主要针对重要安全漏洞的预警、跟踪和分享全球最新的威胁情报和安全报告。
关注以下公众号，获取全球最新安全资讯：
京公网安备11010802024551号