کارخانه‌ی چینیِ Lenovo بار دیگر به خاطر آسیب‌پذیری در BIOS لپ‌تاپ‌های خود زیر ذره‌بین قرار گرفته است. یک محقق امنیتی به نام Dmytro Oleksiuk با نام مستعار Cr4sh اخیراً به کدی دست یافته که آسیب‌پذیریِ دسترسی‌های روزِصفر در BIOSهای Lenovo را تشدید می‌کند.
باگ UEFI، کامپیوترهای Lenovo را در معرض اجرای کدهای اجراییِ دلخواه در حالت مدیریت سیستم یا SMM[1] قرار می‌دهد. این موضوع باعث می‌شود پروتکل‌های امنیتیِ ویندوز بی‌اثر شوند. این باگ از آسیب‌پذیری حفاظت نوشتن در حافظه flash استفاده می‌کند و لذا به کاربر اجازه می‌دهد قابلیت‌هایی مثل UEFI Secure Boot و Virtual Secure Mode و Credential Guard را در کامپیوترهای Lenovo مبتنی بر ویندوز غیرفعال کند. بایستی توجه داشت که این موارد تنها خطرات کشف شده هستند و امکان اضافه شدن به این لیست در روزهای آینده وجود دارد.
لپ‌تاپ‌های سری ThinkPad به دلیل باگ‌های موجود در مدل‌های قدیمی‌ترِ X220s، به عنوان لپ‌تاپ‌هایی بسیار آسیب‌پذیر شناخته می‌شوند. مشابه این آسیب‌پذیری در BIOS قبلاً نیز در سال 2010 در برخی لپ‌تاپ‌های HP یافت شده بود لذا به نظر می‌رسد Lenovo آن آپدیتِ آسیب‌پذیرِ میان‌افزار را تنها کپی-پیست کرده است. با این حال، بنا بر ادعای Cr4sh، شرکت اینتل وجود آسیب‌پذیری در میان‌افزار را در سال 2014 شناسایی کرده و برطرف نموده است. اما این موجب برانگیخته شدن سوال دیگری می‌شود که چگونه این آسیب‌پذیری دوباره در کامپیوترهای Lenovo بروز کرده است. برخی گمانه‌زنی‌ها حکایت از این دارد که این آسیب‌پذیری بدین منظور گنجانده شده تا FBI بتواند از این طریق به جاسوسی بپردازد.
Lenovo در پاسخ به این موضوع در وبلاگ خود عنوان کرده که به امنیت محصولات خود پایبند است و با همکاری اینتل و IBVهای خود در حال تصحیح این آسیب‌پذیری در کوتاه‌ترین زمان ممکن هستند. از مطلب وبلاگ اینطور به نظر می‌رسد که Lenovo قصد دارد قصور در این امر را متوجه اینتل (تولیدکننده‌ی اصلی کدهای چیپ) کند و در عین حال نویسنده‌ی اصلی کد را پیدا کرده و هدف پشت این خطای مرموز در BIOS در سری‌های ThinkPad را متوجه شود.
Cr4sh جزئیاتی را برای تشخیص آسیب‌پذیریِ سیستم در برابر این موضوع در Github ارائه کرده است.
- 9