Lenovo lukker hul i BIOS

Af Torben B. Sørensen, 11/10/16

Artiklen blev oprindeligt publiceret den 13/8/2015

Lenovo-computere har en funktion i BIOS, der automatisk installerer software på pc’ens harddisk. Efter der er fundet en sårbarhed, gør Lenovo det nu muligt at fjerne funktionen.

Sårbarheden ligger i Lenovo Service Engine (LSE), der er leveret med laptops og desktop-pc’er i firmaets forbrugerrettede linjer. Produkter i Think-familien er ikke berørt.

LSE udnytter funktionen Microsoft Windows Platform Binary Table (WPBT). Den gør det muligt at kopiere software fra BIOS (Basic Input Output System) til filsystemet. På den måde kan Lenovo sikre, at et program er installeret, selvom brugeren forsøger at fjerne det.

Lenovo har opdaget, at LSE ikke overholder Microsofts sikkerhedsretningslinjer for WPBT. Sårbarhederne omfatter et bufferoverløb og mulighed for, at angriberen kan forbinde sig til en Lenovo-testserver.

Lenovo har rettet fejlen ved at udsende et værktøj, forbrugere kan bruge til at fjerne LSE med. Firmaet er samtidig holdt op med at installere LSE på nye computere.

Sårbarheden er alvorligst på laptops.

Anbefaling
Kør værktøjet fra Lenovo for at fjerne LSE fra computeren.

Links