研究人员发现三个联想电脑的 UEFI 漏洞 影响规模可达数百万台
根据The Hacker News的报道，有三个高影响的统一可扩展固件接口（UEFI）安全漏洞被公布，即CVE-2021-3970、CVE-2021-3971和CVE-2021-3972，已被发现它们会影响联想的各种设备，如联想Flex、IdeaPads和Yoga笔记本电脑。
最初，CVE-2021-3971和CVE-2021-3972是为了在联想消费者笔记本的制造过程中使用。然而，在 *** BIOS镜像时，它们被错误地留在其中，而没有首先停用。攻击者可以获得对这些设备的访问，他们将能够在操作系统运行期间从特权用户模式进程中禁用SPI闪存保护或UEFI安全启动功能。
联想昨天针对这些漏洞发布了安全补丁，如下所示：
CVE-2021-3970-由于某些联想笔记本型号的验证工作不完善，LenovoVariable *** I Handler存在潜在漏洞，可能允许具有本地访问权限和高权限的攻击者执行任意代码。
CVE-2021-3971 – 一些消费型联想笔记本电脑设备上的旧制造工艺中使用的驱动程序存在潜在漏洞，该驱动程序被错误地包含在BIOS镜像中，可能允许具有高权限的攻击者通过修改NVRAM变量修改固件保护区域。
CVE-2021-3972 – 在一些消费类联想笔记本电脑设备的制造过程中使用的驱动程序存在潜在漏洞，该驱动程序被误认为没有被停用，可能允许具有高权限的攻击者通过修改NVRAM变量来修改安全启动设置。
利用这些安全补丁很重要，以避免在未来受到损害。这些威胁是在操作系统获得控制权之前，也就是PC启动过程的早期启动的。因此，攻击者将能够对抗任何基于操作系统内的安全措施。
转自 cnBeta ，原文链接：https://www.cnbet *** /articles/tech/1260147.htm
封面来源于 *** ，如有侵权请联系删除
“研究人员发现三个联想电脑的 UEFI 漏洞 影响规模可达数百万台” 的相关文章
黑客正在利用伪造的执法机构传票窃取苹果、Google 等公司的用户数据
据报道，犯罪黑客正在通过一种有效的、狡猾的技术用偷来的执法部门的电子邮件从大型科技公司、ISP、运营商和社交媒体公司窃取用户数据。据网络安全记者Brian Krebs称，更具体地说，攻击者显然正在伪装成执法官员以获取传票特权数据。 一般来说，他们使用被破坏的执法部门电子邮件账户。 这种策略还依赖于...
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
CISA 发布 AA22-103A 新警报：警惕针对 ICS/SCADA 设备的 APT 网络攻击
本周三，包括美国能源部（DOE）、网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在内的多个机构，向关键基础设施运营商发出了严重的潜在攻击警报。近年来，某些持续威胁（APT）参与者创建了许多定制工具，并在针对工业控制系统（ICS）、监控和数据采集设备（SCADA）等关键基础设施的攻击事件中...
因未能披露挖矿对业务的影响，英伟达被罚 550 万美元
美国证券交易委员会 (SEC) 5月6日发布声明，称对芯片制造商英伟达的指控，双方已达成一致，英伟达承认未能充分披露挖矿对其游戏业务的影响，同意支付550万美元的罚款。 此前，SEC认为，从 2017 年开始，已有越来越多的用户使用英伟达生产的游戏显卡（GPU） 来挖掘加密货币，但在2018财年的...
朝鲜关键服务无法访问 疑似遭到 DDoS 攻击
根据 NK News 获得的日志文件和域名记录显示，在上周五和上周日朝鲜的关键服务器无法访问，从而在互联网上消失了数个小时。网络安全研究员 Junade Ali 说，连接失败的模式表明，朝鲜的 IT 基础设施可能受到了分布式拒绝服务（DDOS）攻击。 图片来自于 Pixabay Ali 表示：“断...
苹果 Safari 浏览器漏洞允许跨站点用户跟踪
Hackernews 编译，转载请注明出处： 在苹果 Safari 15的 IndexedDB API 实现中放入的一个软件漏洞可能被恶意网站利用，以追踪用户在网络浏览器中的在线活动，更糟糕的是，它还可能泄露用户的身份。 2021年11月28日，防欺诈保护软件公司 FingerprintJS...
评论列表
发表评论
