Detectan graves vulnerabilidades en la BIOS UEFI de numerosos portátiles de Lenovo

El equipo de investigación de ESET, desarrolladores del conocido antivirus, han detectado tres vulnerabilidades que afectan a numerosos portátiles Lenovo. Dos de ellas están integradas en varios drivers colocados directamente en la BIOS UEFI y que inicialmente estaban pensados únicamente para la fase de fabricación y desarrollo de los equipos.

No obstante, Lenovo los mantuvo en las versiones finales que vende a los consumidores, permitiendo que un usuario malintencionado pueda utilizarlos para desactivar distintas protecciones, incluyendo el arranque seguro de UEFI (Secure Boot). Las vulnerabilidades se han etiquetado con los nombres CVE-2021-3971 y CVE-2021-3972.

El nombre de los drivers que causan la vulnerabilidad es "SecureBackDoor"

Lo más llamativo es que los nombres de los drivers "no finales" instalados, son SecureBackDoorPeim y SecureBackDoor, nombres que hacen referencia directamente a "puertas de atrás". Estos nombres podrían hacer sospechar de si realmente ha sido un descuido o si ha habido cierta intencionalidad por parte de Lenovo.

Una tercera vulnerabilidad descubierta por ESET hace referencia a un fallo de corrupción de memoria SMM que permitiría ejecutar código a atacantes. Esta vulnerabilidad está etiquetada con el nombre de CVE-2021-3970.

ESET avisó a Lenovo a finales del año pasado para que lanzara actualizaciones y parches, tarea que la compañía ha realizado en parte, pero no todos los modelos tienen su actualización disponible. Los modelos afectados incluyen portátiles de gama baja y también de gama alta, como los Legion 5 Pro, Yoga Slim 9 o IdeaPad-3. Hay modelos que nunca recibirán actualización al no estar ya dentro de la lista de soporte de Lenovo.

La lista completa de portátiles afectados, coin un gran número de modelos vulnerables, está al final de este artículo.

La compañía china ya fue multada por preinstalar malware en sus portátiles

No es la primera vez que la compañía china está en el punto de mira por problemas de seguridad, de hecho, la FCC estadounidense les impuso una multa de 3,5 millones de Dólares por vender sus portátiles con malware preinstalado (Superfish), poniendo en entredicho la seguridad de sus equipos y asestando un duro golpe a su reputación.

Lenovo se había hecho un hueco importante en el mercado tras hacerse con la mítica división de portátiles de IBM.

Modelos de portátiles Lenovo vulnerables

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!