MCPLive > 业界快讯 > UEFI零日漏洞曝光:惠普/联想笔记本危险

UEFI零日漏洞曝光:惠普/联想笔记本危险

2016-07-05mc快科技

独立安全研究人员Dmytro Oleksiuk今天详细介绍了一个未修补的UEFI固件零日漏洞,已确认可以威胁部分联想、惠普笔记本。

这个漏洞存在于多种UEFI固件包里的系统管理模块(SMM)源代码中,Oleksiuk就此写了一段验证性代码“ThinkPwn”,可利用该漏洞关闭UEFI写保护,随后任意修改设备固件。

甚至,安全启动选项也可以被关闭,Windows 10内建的设备保护等安全措施同样能被绕过。

这段代码目前运行于UEFI级别,可在每次启动时直接访问,而且理论上可以修改运行在系统级别上,同时插入恶意代码。

Oleksiuk表示,初发现受影响的只有联想笔记本,但稍后他发现,其他一些OEM产品也被波及,包括惠普的部分产品。

联想回应称,该漏洞并非来自自家代码,而是源于Intel提供的IBV(独立BIOS供应商)代码,另外看上去这个漏洞并不新鲜,Intel工程师2014年就修复了,但不知为何又出现在了多家厂商的UEFI之中。

但是目前,尚无针对此漏洞的修复,联想、惠普都没有。

分享到:

用户评论

用户名:

密码: