Lenovo – IoT OT Security News

Linux 標的のブートキット Bootkitty が登場：UEFI の脆弱性 LogoFAIL CVE-2023-40238 を悪用

Security Alert: Bootkitty Bootkit Targets Linux via UEFI Vulnerability (CVE-2023-40238)

2024/12/01 SecurityOnline — Bootkitty という、史上で初めて Linux システムを標的にする UEFI ブートキットが、Binarly と ESET のセキュリティ研究者たちにより発見された。この新たな脅威は、UEFI ファームウェアの欠陥である LogoFAIL と命名された脆弱性 CVE-2023-40238 を悪用するものであり、Secure Boot の保護をバイパスし、悪意のペイロードを注入する。

UEFI の脆弱性 CVE-2024-8105 が FIX：Acer／Dell／HP／Intel／Lenovo などに影響？

CVE-2024-8105: An UEFI Flaw Putting Millions of Devices at Risk

2024/09/02 SecurityOnline — UEFI エコシステム内に存在する、PKfail と呼ばれる深刻な脆弱性 CVE-2024-8105 (CVSS：8.2) が表面化した。この脆弱性の悪用に成功した攻撃者により、重要な UEFI セキュリティ・メカニズムが侵害されると、最も基本的なセキュア・ブート保護でさえ回避していく侵害に対してシステムが脆弱になる。

PKfail という Secure Boot バイパスが発見された：深刻なファームウェア・サプライチェーン問題とは？

PKfail Secure Boot bypass lets attackers install UEFI malware

2024/07/25 BleepingComputer — 攻撃者がPKfail と呼ばれる深刻なファームウェア・サプライチェーン問題を悪用する攻撃者により、Secure Boot をバイパスしたマルウェアのインストールが可能となり、10 社のベンダーの何百もの UEFI 製品の侵害の可能性が生じている。Binarly Research Team が発見した、この問題の影響を受けるデバイスは、American Megatrends International (AMI) が生成したテスト用の Secure Boot “master key” である、Platform Key (PK) を使用しているものとなる。

Intel CPU に影響を及ぼす UEFI の脆弱性 CVE-2024-0762：悪意のコード実行の恐れ

Researchers Uncover UEFI Vulnerability Affecting Multiple Intel CPUs

2024/06/20 TheHackerNews −−− Intel Core デスクトップ／モバイル・プロセッサー群に影響を及ぼす、Phoenix SecureCore UEFI ファームウェアの脆弱性 CVE-2024-0762 (CVSS：7.5) の詳細が、サイバー・セキュリティ研究者たちにより公開された。この脆弱性は、TPM (Trusted Platform Module) コンフィグにおける、セキュアでない変数に起因するバッファ・オーバーフローであり、悪意のコードが実行される可能性があると説明されている。

Android の権限昇格の脆弱性 CVE-2023-45779：少なくとも７つの OEM に影響する

Exploit released for Android local elevation flaw impacting 7 OEMs

2024/01/31 BleepingComputer — 少なくとも７つの Android OEM (Original Equipment Manufacturer) に影響を与える、Google Android のローカル権限昇格の脆弱性の PoC エクスプロイトが、GitHub で公開された。ただし、このエクスプロイトはローカル・アクセスを必要とするため、公開されたとしても、利用できるのは研究者くらいだろう。この脆弱性 CVE-2023-45779 は、2023年9月上旬に Meta の Red Team X により発見され、2023年12月の Android のセキュリティ・アップデートで対処されたものである。

Windows Hello 認証バイパスの問題：指紋センサー・プロトコルの不適な実装

New Flaws in Fingerprint Sensors Let Attackers Bypass Windows Hello Login

2023/11/22 TheHackerNews — Dell Inspiron 15／Lenovo ThinkPad T14／Microsoft Surface Pro X のノート PC に存在する脆弱性の悪用により、Windows Hello 認証バイパスの可能性が生じることが、新たな調査により発見された。それらの脆弱性は、ハードウェア／ソフトウェア製品のセキュリティ調査会社 Blackwing Intelligence の研究者が発見したものであり、Goodix／Synaptics／ELAN の指紋センサーが埋め込まれるデバイスの欠陥である。

SBOM の品質をチェック：米政府基準の最小限要素を満たすものは１％に過ぎない

Chainguard Trains Spotlight on SBOM Quality Problem

2023/01/19 SecurityWeek — ソフトウェア部品表で品質を管理しているソフトウェア・エンジニアが、驚くべき発見をした。現時点で作成されている SBOM のうち、米国政府が定義した「最小限の要素」を満たしているものは、わずか 1% に過ぎないというのだ。ソフトウェア・サプライチェーン・セキュリティの企業である Chainguard の新しいデータによると、既存のツールで生成された SBOM は、ソフトウェアの脆弱性／ライセンス／在庫の追跡を管理するために、SBOM 内で定義されている必要最小限のデータフィールドを満たしていないことが判明した。

Acer Laptop の深刻な脆弱性が FIX： UEFI Secure Boot が回避される可能性

Acer fixes UEFI bugs that can be used to disable Secure Boot

2022/11/28 BleepingComputer — Acer が修正した深刻度の高い脆弱性は、ローカルの攻撃者が標的とするシステム上で、UEFI Secure Boot が無効にされる可能性を生じ、複数のラップトップ・モデルに影響を与えるものである。Secure Boot 機能とは、TPM (Trusted Platform Module) チップと、UEFI (Unified Extensible Firmware Interface) ファームウェアを搭載したコンピュータにおいて、信頼できない OS ブートローダをブロックし、ルートキットやブートキットといった悪質なコードが、起動プロセス中にロードされないようにするものだ。

Dell／HP／Lenovo デバイスの問題：UEFI 実装における古い OpenSSL の使用が判明

Dell, HP, and Lenovo Devices Found Using Outdated OpenSSL Versions

2022/11/25 TheHackerNews — Dell／HP／Lenovo のデバイスのファームウェア・イメージを分析した結果、古いバージョンの OpenSSL 暗号ライブラリの存在が明らかになり、サプライチェーン・リスクが浮き彫りになっている。EFI Development Kit (EDK) は、OS とデバイスのハードウェアに組み込まれたファームウェア間のインターフェースとして機能する、UEFI (Unified Extensible Firmware Interface) のオープンソース実装である。EDK II のファームウェア開発環境には、CryptoPkg という独自の暗号パッケージがあり、OpenSSL プロジェクトのサービスを利用できる。

Lenovo ノートに新たな UEFI ファームウェアの脆弱性：70 機種以上に深刻な影響が

New UEFI firmware flaws impact over 70 Lenovo laptop models

2022/07/13 BleepingComputer — Lenovo のノートパソコン群で使用されている UEFI ファームウェアには、３つのバッファ・オーバーフローの脆弱性が存在するため、悪用に成功した攻撃者が Windows インストールのスタートアップ・ルーチンを乗っ取る可能性があるという。Lenovo が発行したセキュリティ・アドバイザリは、３つの深刻度 Medium の脆弱性 CVE-2022-1890／CVE-2022-1891／CVE-2022-1892 を公開するものとなっている。

UEFI ファームウェアで発見された 23件の脆弱性：ハードウェア・ベンダー 25社に影響

UEFI firmware vulnerabilities affect at least 25 computer vendors

2022/02/02 BleepingComputer — ファームウェア・プロテクション企業である Binarly の研究者たちは、Fujitsu／Intel／AMD／Lenovo／Dell／ASUS／HP／Siemens／Microsoft／Acer などの、複数のコンピュータ・ベンダーが採用している InsydeH2O の UEFI ファームウェアに、深刻な脆弱性が存在することを発見した。

UEFI (Unified Extensible Firmware Interface) ソフトウェアとは、デバイスのファームウェアとオペレーティング・システムの間のインターフェースであり、起動プロセス／システム診断／修復機能などに対応する。