Son habituales los problemas de seguridad en los BIOS de los portátiles debido a la mayor flexibilidad para modificarlos que tienen los fabricantes de portátiles, pero a su vez es una fuente de problemas. En los últimos tiempos se han ido poniendo más límites y mejorando la seguridad, pero no hay sistema totalmente seguro. Ahora Lenovo ha distribuido actualizaciones de BIOS para setenta modelos de portátiles distintos.
Cubren tres vulnerabilidades distintas, las CVE-2022-1890, CVE-2022-1891 y CVE-2022-1892, que tienen que ver con los controladores ReadyBootDxe y SystemLoadDefaultDxe de los portátiles de Lenovo, aunque la solución se haga parcheando el BIOS —o más propiamente dicho, UEFI—.
Son ataques de desbordamiento de búfer que permiten ejecutar código arbitrario al inicio del arranque. El problema reside en comprobaciones insuficientes por la UEFI a los valores que se le pasa a través de los servicios en tiempo de ejecución de la UEFI. Al menos no son excesivamente graves porque se necesita acceso a los equipos, pero nada impide aprovecharlas mediante alguna vulnerabilidad que permita el acceso remoto a ellos.
En el enlace de más arriba están los modelos afectados y los enlaces a la actualización de BIOS que se debe instalar en ellos.
Vía: Ars Technica.
