Lenovo-laptops kwetsbaar door 'per ongeluk' toegevoegde driver in BIOS-image
Meer dan honderd verschillende modellen Lenovo-laptops met wereldwijd miljoenen gebruikers zijn kwetsbaar voor aanvallers omdat de fabrikant naar eigen zeggen 'per ongeluk' firmware-drivers aan de BIOS-image heeft toegevoegd. Daardoor kan een aanvaller beveiligingsmaatregelen van het SPI-flashgeheugen en de Secure Boot-feature uitschakelen, zo meldt antivirusbedrijf ESET dat de kwetsbaarheden ontdekte.
De aanval is mogelijk doordat Lenovo verschillende drivers die worden gebruikt tijdens het productieproces 'per ongeluk' aan de productie BIOS-images heeft toegevoegd. Daarnaast zijn deze drivers niet voldoende gedeactiveerd. Een aanvaller die bijvoorbeeld via malware toegang tot het systeem heeft kan deze drivers activeren en vervolgens de bescherming van het SPI-flashgeheugen uitschakelen. Ook is het mogelijk om Secure Boot uit te zetten.
Verder zou een aanvaller zo UEFI-malware in het SPI-flashgeheugen van het moederbord kunnen installeren die lastig te detecteren en verwijderen is. ESET waarschuwde Lenovo op 11 oktober vorig jaar. Gisteren kwam Lenovo met BIOS-updates en een security-advisory. Vandaag heeft ESET de details van de kwetsbaarheden (CVE-2021-3970, CVE-2021-3971 en CVE-2021-3972) openbaar gemaakt.
Ben benieuwd hoe lang het duurt voordat iedereen met een laptop uit de (zeer grote) lijst de heeft geupdate...
Systeembeheer zal zeker blij zijn omdat bij menig bedrijf de BIOS update alleen kan met systeemrechten.
Dat zegt die volgens mij ook niet.. Maar als gebruiker van Lenovo flap, weet ik dat er fabriek af veel troep toegevoegd word aan de standaard Windows installatie, zoals een Lenovo update systeem, incl driver, die er per ongeluk aan toegevoegd zijn.. Ook ik had die troep.. Maar gelukkig draait mijn flappie al 4 jaar probleemloos XUbunte.. Geen gezeik met drivers
-HaSo
Misschien moet je even opzoeken wat een BIOS is. Hint: het zit niet in Windows.
Dat zegt die volgens mij ook niet.. Maar als gebruiker van Lenovo flap, weet ik dat er fabriek af veel troep toegevoegd word aan de standaard Windows installatie, zoals een Lenovo update systeem, incl driver, die er per ongeluk aan toegevoegd zijn.. Ook ik had die troep.. Maar gelukkig draait mijn flappie al 4 jaar probleemloos XUbunte.. Geen gezeik met drivers
-HaSo
Nee, draait inderdaad super. Bij mij ook met Kubuntu. Maar ik zie nu dat de BIOS update alleen beschikbaar is als Windows 10/11 .exe. En nu?
Dat zegt die volgens mij ook niet.. Maar als gebruiker van Lenovo flap, weet ik dat er fabriek af veel troep toegevoegd word aan de standaard Windows installatie, zoals een Lenovo update systeem, incl driver, die er per ongeluk aan toegevoegd zijn.. Ook ik had die troep.. Maar gelukkig draait mijn flappie al 4 jaar probleemloos XUbunte.. Geen gezeik met drivers
-HaSo
Nee, draait inderdaad super. Bij mij ook met Kubuntu. Maar ik zie nu dat de BIOS update alleen beschikbaar is als Windows 10/11 .exe. En nu?
https://wiki.osdev.org/UEFI
https://wiki.ubuntu.com/UEFI/SecureBoot
https://wiki.ubuntu.com/UEFI/SecureBoot/Signing
https://petapixel.com/2022/03/14/dji-denies-throttling-ukrainian-army-drones-after-rumors-swirl/
Wel verdacht, ik zou niet zo een merkt meer willen kopen, of als winkel verkopen.
Dat zegt die volgens mij ook niet.. Maar als gebruiker van Lenovo flap, weet ik dat er fabriek af veel troep toegevoegd word aan de standaard Windows installatie, zoals een Lenovo update systeem, incl driver, die er per ongeluk aan toegevoegd zijn.. Ook ik had die troep.. Maar gelukkig draait mijn flappie al 4 jaar probleemloos XUbunte.. Geen gezeik met drivers
-HaSo
Nee, draait inderdaad super. Bij mij ook met Kubuntu. Maar ik zie nu dat de BIOS update alleen beschikbaar is als Windows 10/11 .exe. En nu?
https://wiki.osdev.org/UEFI
https://wiki.ubuntu.com/UEFI/SecureBoot
https://wiki.ubuntu.com/UEFI/SecureBoot/Signing
Zelf een BIOS schrijven? Ik geloof niet dat je snapt waar het hier om gaat.
Dat zegt die volgens mij ook niet.. Maar als gebruiker van Lenovo flap, weet ik dat er fabriek af veel troep toegevoegd word aan de standaard Windows installatie, zoals een Lenovo update systeem, incl driver, die er per ongeluk aan toegevoegd zijn.. Ook ik had die troep.. Maar gelukkig draait mijn flappie al 4 jaar probleemloos XUbunte.. Geen gezeik met drivers
-HaSo
Nee, draait inderdaad super. Bij mij ook met Kubuntu. Maar ik zie nu dat de BIOS update alleen beschikbaar is als Windows 10/11 .exe. En nu?
Dan heb jij hem niet nodig!!
-HaSo
Dat zegt die volgens mij ook niet.. Maar als gebruiker van Lenovo flap, weet ik dat er fabriek af veel troep toegevoegd word aan de standaard Windows installatie, zoals een Lenovo update systeem, incl driver, die er per ongeluk aan toegevoegd zijn.. Ook ik had die troep.. Maar gelukkig draait mijn flappie al 4 jaar probleemloos XUbunte.. Geen gezeik met drivers
-HaSo
Nee, draait inderdaad super. Bij mij ook met Kubuntu. Maar ik zie nu dat de BIOS update alleen beschikbaar is als Windows 10/11 .exe. En nu?
https://wiki.osdev.org/UEFI
https://wiki.ubuntu.com/UEFI/SecureBoot
https://wiki.ubuntu.com/UEFI/SecureBoot/Signing
Zelf een BIOS schrijven? Ik geloof niet dat je snapt waar het hier om gaat.
Het is leuk dat men denkt met Linux geen ellende hierbij te hebben maar je hebt te maken met een fabrikant die meerdere malen is betrapt op het installeren van ongein in hun firmware, software of het niet detecteren ervan. En niet alleen in laptops mind you.
Wat dacht je van HP backdoor 2018? https://www.agconnect.nl/artikel/lenovo-vindt-hp-backdoor-uit-2004-eigen-switches
Superfish nog in geheugen? https://en.wikipedia.org/wiki/Superfish
Dus als je dit merk wilt blijven gebruiken (wat echt hele domme beslissing is vanuit veiligheids oogpunt) dan kun je maar beter je eigen firmware gaan schrijven en auditten want je kan de fabrikant dus niet vertrouwen dat ze niks stoppen in de wat inprincipe een closed blackbox is.
Wij hebben in 2015 al verbod ingesteld op Lenovo in de organisatie.
Natuurlijk niet de illusie dat andere fabrikanten geen ongein hebben geintregeerd maar ze zijn wel competenter blijkbaar met het verbergen van de meuk ;)
Dus bij deze nogmaals have fun met het dumpen van of je UEFI image voor een audit of het dumpen van je Lenovo hardware bij de schroot als mitigation.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?