联想笔记本 BIOS 漏洞的修复方法

联想笔记本 BIOS 漏洞

联想安全公告： LEN-73440

潜在影响：权限升级

影响范围：联想特定

CVE 标识符： CVE-2021-3970、CVE-2021-3971、CVE-2021-3972

摘要说明：

Lenovo Notebook BIOS 中报告了以下漏洞。

CVE-2021-3970：LenovoVariable SMI 处理程序中的一个潜在漏洞是由于在某些联想笔记本型号中验证不足，可能允许具有本地访问权限和提升权限的攻击者执行任意代码。

CVE-2021-3971：在一些消费者联想笔记本设备的旧制造过程中使用的驱动程序存在潜在漏洞，错误地包含在 BIOS 映像中，可能允许具有提升权限的攻击者通过修改 NVRAM 变量来修改固件保护区域。

CVE-2021-3972：在某些消费者联想笔记本设备的制造过程中使用的驱动程序存在潜在漏洞，该驱动程序错误地未停用，可能允许具有提升权限的攻击者通过修改 NVRAM 变量来修改安全启动设置。

客户缓解策略（您应该如何保护自己）：

将系统固件更新到产品影响部分中为您的型号指定的版本（或更高版本）。

产品影响：

要下载下面为您的产品指定的版本，请执行以下步骤：

导航到您的产品的驱动程序和软件支持站点：

• 联想产品（全球销售，中国除外）： https: //support.lenovo.com/
• 联想产品（中国销售）：https ://newsupport.lenovo.com.cn/
• IBM 品牌的 System x Legacy Products：https ://www.ibm.com/support/fixcentral/

1. 按名称或机器类型搜索您的产品。
2. 单击左侧菜单面板上的驱动程序和软件。
3. 单击手动更新以按组件类型浏览。
4. 将下面适用产品表中您产品的最低修复版本与支持站点上发布的最新版本进行比较。

Lenovo 还提供工具来协助更新管理，作为上述手动步骤的替代方法。有关其他帮助，请参阅以下内容：

PC 产品和软件： https: //support.lenovo.com/us/en/solutions/ht504759

服务器和企业软件： https: //support.lenovo.com/us/en/solutions/lnvo-lxcaupd和https://datacentersupport.lenovo.com/us/en/documents/lnvo-center

点击以下链接查看受影响的产品：

致谢：

联想感谢 ESET 的 Martin Smolár 报告这些问题。

修订记录：

有关所有 Lenovo 产品安全公告的完整列表，请单击此处。

有关最新信息，请随时了解 Lenovo 有关您的设备和软件的更新和建议。本公告中提供的信息按“原样”提供，不提供任何形式的保证或保证。Lenovo 保留随时更改或更新此公告的权利。

产品影响：

联想笔记本