故障现象

Lenovo 安全公告：LEN-164067

潜在影响：拒绝服务、权限提升、信息泄露

严重性：高

影响范围：全行业

CVE ID：CVE-2021-26344、CVE-2021-26367、CVE-2021-26387、CVE-2021-46746、CVE-2021-46772、CVE-2022-23815、CVE-2022-23817、CVE-2022-30426、CVE-2023-20518、CVE-2023-20578、CVE-2023-20584、CVE-2023-20591、CVE-2023-31315、CVE-2023-31355、CVE-2023-31356、CVE-2023-39535、CVE-2023-39536、CVE-2023-39537、CVE-2023-42667、CVE-2023-43490、CVE-2023-49141、CVE-2024-21801、CVE-2024-21978、CVE-2024-21980、CVE-2024-21981、CVE-2024-22374、CVE-2024-24853、CVE-2024-24980、CVE-2024-25939、CVE-2024-33656、CVE-2024-33657、CVE-2024-39283

摘要描述：

AMD 报告称 AMD Secure Processor（ASP）、AMD Secure Encrypted Virtualization（SEV）、AMD Secure Encrypted Virtualization – Secure Nested Paging（SEV-SNP）和其他平台组件中发现了潜在漏洞，已在 AMD EPYC Platform Initialization（PI）固件包中提供缓解措施。 AMD-SB-3003：CVE-2021-26344、CVE-2021-26387、CVE-2021-46772、CVE-2021-46746、CVE-2023-20518、CVE-2023-20578、CVE-2023-20584、CVE-2023-20591、CVE-2023-31356、CVE-2024-21981

AMD 报告了 Secure Encrypted Virtualization - Secure Nested Paging（SEV-SNP）中存在潜在漏洞，这些漏洞可能允许由主机系统控制的恶意虚拟机监控程序读取或损坏访客虚拟机的内存。AMD-SB-3011：CVE-2024-21978、CVE-2024-21980、CVE-2023-31355

AMD 报告了 AMD Secure Processor（ASP）和其他平台组件中存在潜在漏洞。AMD-SB-4004：CVE-2021-26344、CVE-2021-26367、CVE-2021-46746、CVE-2021-46772、CVE-2021-26387、CVE-2022-23815、CVE-2022-23817、CVE-2023-20518、CVE-2023-20578、CVE-2024-21981

AMD 报告了一个漏洞，该漏洞即使在已启用系统管理模式（SMM）锁的情况下也可能允许具有 root 权限的攻击者修改 SMM 配置。AMD-SB-7014：CVE-2023-31315

AMI 报告了一个漏洞，该漏洞可能允许本地攻击者提升权限并执行任意代码。CVE-2022-30426

AMI 报告了 BIOS 中存在漏洞，该漏洞可能允许攻击者通过本地网络使用不当的输入验证。CVE-2023-39535、CVE-2023-39536、CVE-2023-39537

AMI 报告了 BIOS 中存在潜在特权管理漏洞，该漏洞可能允许本地攻击者提升特权。CVE-2024-33656

AMI 报告了 BIOS 中存在 SMM 调用漏洞，该漏洞可能导致拒绝服务。CVE-2024-33657

AMI 已发布 AMI BIOS 的安全增强功能。未提供 CVE。

Intel 报告了 Intel Trust Domain Extensions（TDX）模块软件中存在潜在安全漏洞，该漏洞可能导致权限提升。INTEL-SA-01010：CVE-2024-39283

Intel 报告了 Intel Core Ultra Processor 流缓存机制中存在不当隔离，可能允许经过认证的用户通过本地访问权限实现权限提升。INTEL-SA-01038：CVE-2023-42667

Intel 报告了采用 Intel Software Guard Extensions（SGX）的部分 Intel Xeon D 处理器中存在潜在安全漏洞，该漏洞可能导致信息泄露。INTEL-SA-01045：CVE-2023-43490

Intel 报告了部分 Intel 处理器的流缓存机制中存在潜在安全漏洞，该漏洞可能导致权限提升。INTEL-SA-01046：CVE-2023-49141

Intel 报告了部分 Intel Trust Domain Extensions（Intel TDX）模块软件中存在潜在安全漏洞，该漏洞可能导致拒绝服务。INTEL-SA-01070：CVE-2024-21801

Intel 报告了部分 Intel Xeon 处理器中存在潜在安全漏洞，该漏洞可能导致拒绝服务。INTEL-SA-01073：CVE-2024-22374

Intel 报告了 SMI Transfer Monitor（STM）中存在潜在安全漏洞，该漏洞可能导致权限提升。INTEL-SA-01083：CVE-2024-24853

Intel 报告了部分第 3 代、第 4 代和第 5 代 Intel Xeon 处理器中存在潜在安全漏洞，该漏洞可能导致权限提升。INTEL-SA-01100：CVE-2024-24980

Intel 报告了部分第 3 代 Intel Xeon 可扩展处理器中存在潜在安全漏洞，该漏洞可能导致拒绝服务。INTEL-SA-01118：CVE-2024-25939

解决方案

将系统固件升级到“产品影响”部分中针对您的产品型号列出的版本（或更高版本）。

产品影响：

要下载以下专为您的产品指定的版本，请执行以下步骤：

导航到您的产品的 Drivers & Software（驱动程序和软件）支持站点：

Lenovo 产品（全球销售，中国除外）：https://support.lenovo.com/
Lenovo 产品（中国销售）：https://newsupport.lenovo.com.cn/
IBM 品牌的早期 System x 产品：https://www.ibm.com/support/fixcentral/

按名称或机器类型搜索产品。
单击左侧菜单面板上的 Drivers & Software（驱动程序和软件）。
单击 Manual Update（手动更新）按组件类型浏览。
将以下产品适用表中适合您的产品的最低修复版本与支持站点上发布的最新版本进行对比。

Lenovo 还提供了更新管理辅助工具，可替代上述手动步骤。如需其他帮助，请参考以下资源：

PC 产品和软件：https://support.lenovo.com/us/en/solutions/ht504759

服务器和企业软件：https://support.lenovo.com/us/en/solutions/lnvo-lxcaupd 和 https://datacentersupport.lenovo.com/us/en/documents/lnvo-center

点击以下链接查看受影响的产品:

联想问天

产品型号	部件	CVE-2024-24853	CVE-2024-24980	CVE-2024-22374
WR3220 G2/WR3228 G2	Baseboard Management Controller (BMC) Lenovo WenTian WR3220 G2/WR3228 G2	xwe160q-1.20	xwe160q-1.20	N/A
WR5220 G3/WR5228 G3	Baseboard Management Controller (BMC) Lenovo WenTian WR5220 G3/WR5228 G3	N/A	T8E184G-2.72 目标可用日期2024-09-09	T8E184G-2.72 目标可用日期2024-09-09
SR660 V2	Baseboard Management Controller (BMC) Lenovo WenTian SR660 V2	xwe110e-1.98	xwe110e-1.98	N/A
SR860P	Baseboard Management Controller (BMC) Lenovo WenTian SR860P	TEE188I-4.40	N/A	N/A
DN8848 V2	Baseboard Management Controller (BMC) Lenovo WenTian DN8848 V2	xwe104f-1.20	xwe104f-1.20	N/A
SE550 V2	Baseboard Management Controller (BMC) Lenovo WenTian SE550 V2	xwe172h-2.68	xwe172H-2.68	N/A
SR590V2	Baseboard Management Controller (BMC) Lenovo WenTian SR590V2	xwe160i-1.20	xwe160i-1.20	N/A