故障现象

Lenovo 安全公告：LEN-134879

潜在影响：权限提升、信息披露、拒绝服务

严重性：高

影响范围：全行业

CVE ID：CVE-2022-24351、CVE-2022-27879、CVE-2022-37343、CVE-2022-38083、CVE-2022-40982、CVE-2022-41804、CVE-2022-43505、CVE-2022-44611、CVE-2022-46897、CVE-2023-2004、CVE-2023-20555、CVE-2023-20569、CVE-2023-23908、CVE-2023-26090、CVE-2023-27471、CVE-2023-28468、CVE-2023-31041、CVE-2023-34419、CVE-2023-4028、CVE-2023-4029、CVE-2023-4030

摘要描述：

Lenovo 会尽力通过少量的更新提供多个 BIOS 安全修复程序和增强功能。以下漏洞列表来自供应商和研究人员的报告或我们在常规内部测试中的发现。本公告“产品影响”部分中列出的产品并非受本摘要中所有 CVE 的影响。

AMD 报告了 SMM 驱动程序中存在 SMM 内存损坏漏洞，该漏洞可能导致执行任意代码。AMD-SB-4003：CVE-2023-20555

AMD 报告了名为“Inception”或“RAS Poisoning”的侧信道攻击，攻击者可能对分支预测施加影响，进而可能导致信息披露。AMD-SB-7005：CVE-2023-20569

AMI 已发布 AMI BIOS 的安全增强功能。未提供 CVE。

Insyde 报告了 CapsuleIFWUSmm 驱动程序不检查返回值的漏洞，该漏洞可能会导致内存泄漏。INSYDE-SA-2023018：CVE-2022-46897

Insyde 报告了 Insyde H20 UEFI 代码处理配置 UEFI NVRAM 变量的架构缺陷。INSYDE-SA-2023034：CVE-2023-260090

Insyde 报告了部分 Insyde UEFI 实现无法正确保护和验证“MeSetup”UEFI 变量中包含的信息。INSYDE-SA-2023036：CVE-2023-27471

Insyde 在测量后报告了导致重定向代码执行的 Time of Check Time of Use（TOCTOU）访问。INSYDE-SA-2023038：CVE-2022-24351

Insyde 报告称，FvbServicesRuntimeDxe SMM 模块暴露了一个 SMI 处理程序，这会允许攻击者在运行时从操作系统与 SPI 闪存进行交互。INSYDE-SA-2023039：CVE-2023-28468

Insyde 报告了一个在采用内核 5.0 至 5.5 的 Insyde InsydeH2O 的 SysPasswordDxe 中发现的问题：系统密码信息可以选择以明文形式存储。INSYDE-SA-2023047：CVE-2023-31041

Insyde 报告了在 src/truetype/ttgxvar.c 的 tt_hvadvance_adjust() 函数的 Freetype 中发现了整数溢出漏洞。INSYDE-SA-2023048：CVE-2023-2004

Intel 报告了部分 Intel 处理器的 BIOS 固件中存在潜在安全漏洞，这些漏洞可能导致权限升级、信息泄露或拒绝服务。2023.3 IPU - INTEL-SA-00813：CVE-2022-37343、CVE-2022-44611、CVE-2022-27879、CVE-2022-38083、CVE-2022-43505

Intel 报告了部分 Intel 处理器中存在潜在安全漏洞，该漏洞可能导致信息泄露。2023.3 IPU - INTEL-SA-00828：CVE-2022-40982

Intel 报告了部分第三代 Intel Xeon 可扩展处理器中存在不当访问控制漏洞，该漏洞可能允许特权用户通过本地访问进行信息泄露。2023.3 IPU - INTEL-SA-00836：CVE-2023-23908

Intel 报告了部分配备 Intel Software Guard Extensions（SGX）或 Intel Trust Domain Extension（TDX）的 Intel Xeon 处理器中存在潜在安全漏洞，该漏洞可能导致权限提升。2023.3 IPU - INTEL-SA-00837：CVE-2022-41804

部分 Lenovo 笔记本电脑产品的 SetupUtility 驱动程序中发现了缓冲区上溢漏洞，该漏洞可能允许具有本地访问权限和提升权限的攻击者执行任意代码。CVE-2023-34419

部分 Lenovo 笔记本电脑产品的 SystemUserMasterHddPwdDxe 驱动程序中发现了缓冲区上溢漏洞，该漏洞可能允许具有本地访问权限和提升权限的攻击者执行任意代码。CVE-2023-4028

部分 Lenovo ThinkPad 产品的 BoardUpdateAcpiDxe 驱动程序中发现了缓冲区上溢漏洞，该漏洞可能允许具有本地访问权限和提升权限的攻击者执行任意代码。CVE-2023-4029

ThinkPad P14s Gen 2、P15s Gen 2、T14 Gen 2 和 T15 Gen 2 的 BIOS 中报告了一个漏洞，该漏洞可能会损坏 BIOS，进而导致系统恢复到不安全的设置。CVE-2023-4030

解决方案

将系统固件升级到“产品影响”部分中针对您的产品型号列出的版本（或更高版本）。

针对 INTEL-SA-00828 的 Intel 指南：

Intel 确定此缓解措施将在更新的微代码中默认启用。用户可以通过其操作系统/VMM 提供的硬件控件来选择不使用该缓解措施，从而避免对受影响工作负载的性能产生影响。对于大多数工作负载，Intel 并未发现由于这一缓解措施而导致性能下降的情况。不过，向量化计算繁重的特定工作负载可能会受到一些影响。Intel 鼓励客户查看我们的技术文档，以了解可用于减少或消除任何性能影响的选项。