【安全公告】LEN-140141 多供应商 BIOS 安全漏洞（2023 年 11 月）

适用机型：ThinkPad L / ThinkPad X / ThinkPad Edge / ThinkPad SL / ThinkPad P / ThinkPad T / ThinkPad S / ThinkPad R / ThinkPad Mini / ThinkStation / 服务器 / ThinkSystem / ThinkPad Z

知识编号：4190372024-02-28

催更新

故障现象

Lenovo 安全公告：LEN-140141

潜在影响：任意代码执行、拒绝服务、权限提升

严重性：高

影响范围：全行业

CVE ID：CVE-2021-26345、CVE-2021-46758、CVE-2021-46766、CVE-2021-46774、CVE-2022-23820、CVE-2022-23821、CVE-2022-23830、CVE-2023-20519、CVE-2023-20521、CVE-2023-20526、CVE-2023-20533、CVE-2023-20563、CVE-2023-20565、CVE-2023-20566、CVE-2023-20571、CVE-2023-20592、CVE-2023-20596、CVE-2023-22329、CVE-2023-23583、CVE-2023-25756、CVE-2023-30633、CVE-2023-34195

摘要描述：

AMD 报告了 SMM Supervisor 初始化过程中存在潜在漏洞，该漏洞可能会对部分 AMD 处理器造成影响。AMD-SB-7011：CVE-2023-20596

AMD 报告了 INVD 指令存在潜在漏洞，该漏洞可能会导致 SEV-ES 和 SEV-SNP 客户虚拟机（VM）内存完整性丢失。AMD-SB-3005：CVE-2023-20592

AMD 报告了 AMD 服务器平台中存在潜在漏洞。AMD-SB-3002：CVE-2022-23820、CVE-2021-46774、CVE-2023-20533、CVE-2023-20519、CVE-2023-20566、CVE-2023-20521、CVE-2021-46766、CVE-2022-23830、CVE-2023-20526、CVE-2021-26345

AMD 报告了 AMD Secure Processor（ASP）、AMD System Management Unit（SMU）和其他平台组件中存在潜在漏洞，这些漏洞可能允许任意代码执行或权限提升。AMD-SB-4002：CVE-2022-23821、CVE-2022-23820、CVE-2023-20563、CVE-2023-20565、CVE-2021-46774、CVE-2023-20571、CVE-2023-20533、CVE-2023-20521、CVE-2021-46758、CVE-2021-46766、CVE-2023-20526

AMI 已发布 AMI BIOS 的安全增强功能。未提供 CVE。

Insyde 报告称，TrEEConfigDriver 可能会导致受影响的设备报告错误的 TPM PCR 值。INSYDE-SA-2023045：CVE-2023-30633

Insyde 报告了 SystemFirmwareManagementRuntimeDxe 驱动程序中存在 BIOS 漏洞，该漏洞可能允许攻击者任意代码执行。INSYDE-SA-2023052：CVE-2023-34195

Intel 报告了部分 Intel 处理器的 BIOS 固件中存在潜在安全漏洞，这些漏洞可能导致拒绝服务。INTEL-SA-00924：CVE-2023-25756、CVE-2023-22329

Intel 报告了部分 Intel 处理器中存在潜在安全漏洞，该漏洞可能允许通过本地访问导致权限提升和/或信息披露和/或拒绝服务。INTEL-SA-00950：CVE-2023-23583

解决方案

将系统固件升级到“产品影响”部分中针对您的产品型号列出的版本（或更高版本）。

产品影响：

要下载以下专为您的产品指定的版本，请执行以下步骤：

导航到您的产品的 Drivers & Software（驱动程序和软件）支持站点：

Lenovo 产品（全球销售，中国除外）：https://support.lenovo.com/
Lenovo 产品（中国销售）：https://newsupport.lenovo.com.cn/
IBM 品牌的早期 System x 产品：https://www.ibm.com/support/fixcentral/

按名称或机器类型搜索产品。
单击左侧菜单面板上的 Drivers & Software（驱动程序和软件）。
单击 Manual Update（手动更新）按组件类型浏览。
将以下产品适用表中适合您的产品的最低修复版本与支持站点上发布的最新版本进行对比。

Lenovo 还提供了更新管理辅助工具，可替代上述手动步骤。如需其他帮助，请参考以下资源：

PC 产品和软件：https://support.lenovo.com/us/en/solutions/ht504759

服务器和企业软件：https://support.lenovo.com/us/en/solutions/lnvo-lxcaupd 和 https://datacentersupport.lenovo.com/us/en/documents/lnvo-center

单击下方链接查看受影响的产品：

CVE-2023-23583影响中国地区产品如下：

ThinkServer

产品型号	部件	发布版本	目标可用日期
SR590 V2 (ThinkServer)	Lenovo ThinkServer SR590V2 UEFI Firmware (For AnyOS)	xwe160f-1.14	TBD
SR588 V2 (ThinkServer)	Lenovo ThinkServer SR588V2 UEFI Firmware (For AnyOS)	xwe160f-1.14	TBD
SE550 V2 (ThinKServer)	Lenovo ThinkServer SE550V2 UEFI Firmware (For AnyOS)	xwe168d-2.64	TBD
DN8848 V2 (ThinkServer)	Lenovo ThinkServer DN8848V2 UEFI Firmware (For AnyOS)	xwe102y-1.16	TBD
SR660 V2 (ThinkServer)	Lenovo ThinkServer SR660V2 UEFI Firmware (For AnyOS)	xwe108k-1.92	2024-2-23
SR668 V2 (ThinkServer)	Lenovo ThinkServer SR668V2 UEFI Firmware (For AnyOS)	xwe108k-1.92	2024-2-23