Lenovo vá lỗ hổng Secure Boot trong các máy chủ

Việc khai thác lỗ hổng bảo mật này có thể dẫn tới việc khởi động mã không được xác thực. Lỗ hổng được nhóm kiểm thử nội bộ của Lenovo phát hiện và được xác định là CVE-2017-3775. Nó gây ảnh hưởng tới hàng model, bao gồm các phiên bản Flex System x240 M5, x280 X6, x480 X6, x880, x3xxx và các thiết bị NeXtScale nx360 M5.

Theo nhà sản xuất, việc kiểm thử nội bộ của Lenovo đã phát hiện ra một số phiên bản BIOS/UEFI của máy chủ System x khi người quản trị hệ thống bật chế độ Secure Boot, nó không xác thực đúng mã đã ký (signed code) trước khi được khởi động. Kết quả là tin tặc với truy cập vật lý tới hệ thống có thể khởi động mã không được ký.

Công ty cho biết, khả năng các hệ thống với tính năng Secure Boot này bị vô hiệu hóa theo mặc định, vì mã đã ký là tương đối mới trong môi trường trung tâm dữ liệu, hơn nữa, các cấu hình vận hành chuẩn không đủ khả năng kiểm tra chữ ký.

Nhà sản xuất máy tính đã công bố danh sách đầy đủ những model bị ảnh hưởng và các liên kết tới bản cập nhật BIOS/UEFI phù hợp cho từng model. Công ty khuyên các quản trị viên dựa vào Secure Boot cần kiểm soát truy nhập vật lý vào các hệ thống trước khi áp dụng các bản cập nhật.

Lenovo cũng phát hành bản vá cho lỗi tràn bộ đệm trong Lenovo System Update Drive Mapping Utility. Lỗ hổng có tên là CVE-2018-9063, có thể gây ra những hoạt động không xác định, chẳng hạn như thực thi mã tùy ý.

Lỗ hổng này được phát hiện bởi SaifAllah benMassaoud, được xếp vào loại có mức độ nghiêm trọng trung bình và có thể bị tin tặc khai thác lỗ hổng bằng cách nhập ID hoặc mật khẩu người dùng gây tràn bộ đệm của chương trình. Tin tặc có thể thực thi mã với các đặc quyền của MapDrv.

Ngoài ra, Lenovo System Update phiên bản 5.07.0072 hoặc mới hơn xử lý lỗ hổng và người dùng được khuyến cáo nên cập nhật ứng dụng để duy trì việc bảo vệ. Để xác định phiên bản cài đặt hiện tại của Lenovo System Update, người dùng nên khởi chạy ứng dụng, nhấn vào dấu chấm hỏi màu xanh ở góc trên cùng bên phải sau đó chọn “About”.

Lenovo System Update cũng tự động kiểm tra phiên bản mới hơn khi được khởi chạy và người dùng chỉ cần mở ứng dụng và chấp nhận cập nhật khi được nhắc. Cập nhật thủ công cũng được hỗ trợ bằng việc tải về phiên bản ứng dụng mới nhất từ trang web của Lenovo.