レノボ セキュリティ アドバイザリ: LEN-73440

潜在的影響: 特権昇格

重要度: 中

影響範囲: Lenovo限定

CVE ID: CVE-2021-3970, CVE-2021-3971, CVE-2021-3972

概要:

以下の脆弱性がLenovoNotebookBIOSで報告されました。

CVE-2021-3970 Lenovo ノートブック の一部モデルには、LenovoVariable SMI Handler の検証が不十分なため、ローカルアクセスおよび昇格した権限を持つ攻撃者が任意のコードを実行できる潜在的な脆弱性が存在します。

CVE-2021-3971 一部のコンシューマー向け Lenovo ノートブック デバイスに古い製造プロセスで使用されていたドライバが誤って BIOS イメージに含まれていたため、昇格した権限を持つ攻撃者が NVRAM 変数を変更することで、ファームウェア保護領域を変更できる潜在的な脆弱性が存在します。

CVE-2021-3972 一部のコンシューマ向け Lenovo ノートブック デバイスの製造プロセスで使用されるドライバが誤って無効化されなかったことにより、昇格した権限を持つ攻撃者が NVRAM 変数を変更することで、セキュアブート設定を変更できる潜在的脆弱性が存在します。

お客様による対策:

システムのファームウェアを、「影響を受ける製品」に記載されているお使いの機種のバージョン（またはそれ以降）に更新します。

影響を受ける製品(日本未発売製品を含む):

以下の製品に指定されたバージョンをダウンロードするには、以下の手順に従います。

製品のドライバーとソフトウェアのサポートサイトに移動します:

• Lenovo 製品 (ワールドワイド、中国を除く): https://support.lenovo.com/
• Lenovo 製品 (中国のみ): https://newsupport.lenovo.com.cn/
• IBMブランド System x レガシー製品: https://www.ibm.com/support/fixcentral/

1. 製品名、またはマシンタイプからお使いの製品を検索します。
2. 左のメニューから「ドライバーとソフトウェア」をクリックします。
3. 「ドライバーの手動更新」をクリックして、コンポーネント別に表示します。
4. 影響を受ける製品一覧の修正バージョンとサポートサイトの最新バージョンを比較します。

Lenovo では、上記の手動の手順の代わりに、更新を管理するツールを提供しています。詳細は以下を参照してください。

PC 製品/ソフトウェア: https://support.lenovo.com/jp/ja/solutions/ht504759

[動画] Lenovo Vantageで最新のドライバーとBIOSを入手するには

サーバー/Enterprise ソフトウェア: https://support.lenovo.com/us/en/solutions/lnvo-lxcaupd および https://datacentersupport.lenovo.com/us/en/documents/lnvo-center

詳細はこちらをクリック:

Lenovo ノートブック

謝辞:

Lenovo thanks Martin Smolár from ESET for reporting these issues.

編集履歴:

セキュリティアドバイザリの一覧は、こちらをクリックしてください。

最新情報につきましては、Lenovoのアドバイザリをご参照ください。このアドバイザリで提供される情報により、Lenovoが何らかの保証をするものではありません。また、Lenovoはアドバイザリの情報は何時でも予告なしに更新、または変更することができるものとします。

影響を受ける製品:

Lenovo ノートブック

※日本未発売製品