Descubiertas tres vulnerabilidades graves que afectan a los portátiles de Lenovo

Las vulnerabilidades son el pan de cada día para muchos productos y, es que, en la actualidad parece que no existe un dispositivo exento de peligro. Esta situación hace que las empresas tengan que estar al tanto en todo momento acerca de los posibles problemas que pueden presentar sus dispositivos.

Pese a que es común pensar que los dispositivos móviles son siempre los más vulnerables, lo cierto es que esto no suele ser así. Los ordenadores portátiles siguen siendo un foco de ataques por parte de los delincuentes cibernéticos, aunque estos ataques también se ven favorecidos por ciertas vulnerabilidades inherentes a estos dispositivos.

El mejor ejemplo de esto es lo que acaba de descubrir Lenovo con varios modelos de sus ordenadores portátiles. La compañía ha lanzado un comunicado en el cual explican que varios de sus equipos se han visto y están afectados por varias vulnerabilidades importantes que ponen en peligro la integridad de los datos de los usuarios.

Dos de las vulnerabilidades que han sido descubiertas por ESET afectan directamente a los drivers de firmware para UEFI y suelen utilizarse durante el proceso de fabricación de estos dispositivos. El nombre concreto de ambas vulnerabilidades es CVE-2021-3971, CVE-2021-3972 y tienen una gravedad importante.

Y, es que, cualquier atacante podría activar estos drivers afectados y lo que haría es deshabilitar las protecciones de la memoria flash SPI o la función del arranque seguro de UEFI. Vamos, un delincuente cibernético con conocimientos suficientes podría instalar y ejecutar malware en los equipos sin que salte ningún tipo de alarma en el equipo.

La tercera vulnerabilidad llega bajo el nombre de CVE-2021-3970 y afecta a la lectura y escritura arbitraria desde y hacia SMRAM. Esta vulnerabilidad puede hacer que cualquier código malicioso sea ejecutado con privilegios SMM y, lógicamente, pueda afectar a los ordenadores portátiles sin que la persona propietaria del equipo sea capaz de hacer nada.

Lenovo ya ha tomado cartas en el asunto y, es que, la vulnerabilidad se descubrió en octubre del 2021 por lo que ya hay una solución para evitar ser víctima de cualquier ataque. Si tienes un ordenador portátil de esta compañía es más que recomendable que actualices los controladores firmware de la BIOS para eliminar la vulnerabilidad.

Para que puedas comprobar si tu ordenador portátil está afectado lo mejor es consultar la siguiente página web que ha habilitado Lenovo, ahí aparece la lista completa de todos los equipos. Además, desde la propia lista podrás acceder a la descarga de los nuevos drives BIOS/UEFI que solucionan estas vulnerabilidades.

Actualización 26/04/2022 15:30:

Lenovo nos informa que ya han solucionado la vulnerabilidad:

Desde Lenovo agradecemos a la compañía de ciberseguridad ESET haberse puesto en contacto con nosotros sobre un problema en los drivers utilizados en la fabricación de algunos de nuestros portátiles.



Los drivers ya han sido actualizados corrigiendo el fallo, y los clientes que los han actualizado como se describe en el aviso de Lenovo están protegidos. Esta actualización se puede llevar a cabo a través de Lenovo Vantage, aplicación que facilita la actualización de los drivers, la ejecución de diagnósticos de dispositivos, la solicitud de asistencia y el descubrimiento de aplicaciones.



Lenovo agradece la colaboración con los investigadores de la BIOS a medida que aumentamos nuestras inversiones en la seguridad de la BIOS para garantizar que nuestros productos siguen cumpliendo o superando los estándares del sector.