安全公司Binarly报告称，联想设备存在六个系统管理模式（SMM）漏洞，其中四个被评为高严重性。这些漏洞可能允许攻击者在操作系统重装后仍能部署持久性植入程序，甚至破坏虚拟机监控程序隔离，对供应链安全构成潜在威胁。Binarly已向联想报告，联想已发布补丁和缓解措施。这些漏洞的出现凸显了固件安全在整体设备安全中的重要性，尤其是在供应链风险管理方面，需要引起高度重视。

💻 **固件漏洞危及联想设备安全**：Binarly公司发现联想设备存在六个系统管理模式（SMM）中的漏洞，编号从CVE-2025-4421到CVE-2025-4426。SMM在操作系统加载前运行且重装系统后依然存在，使其成为攻击者规避安全启动和植入持久性恶意软件的理想目标。

🚨 **高危漏洞可致权限提升与代码执行**：其中四个漏洞被评为“高严重性”，属于内存损坏问题，可能导致攻击者在SMM中获得更高的权限，并执行任意代码。这为攻击者提供了深入控制目标系统的途径。

🛡️ **中危漏洞影响信息泄露与安全绕过**：另外两个“中严重性”漏洞可能导致信息泄露，并允许攻击者绕过重要的安全机制，进一步削弱设备的整体安全防护能力。

🚀 **潜在的持久性威胁与供应链风险**：利用这些漏洞，攻击者能够绕过SPI闪存保护和安全启动，部署即使在重装操作系统后依然存在的植入程序，甚至破坏虚拟机监控程序的隔离。这不仅威胁单个设备，更对整个供应链的安全管理带来严峻挑战。

✅ **厂商已响应并提供解决方案**：Binarly已于4月向联想报告了这些漏洞，联想在6月确认了发现，并已发布了相应的补丁和缓解措施。双方将于近期联合发布详细的安全公告，为用户提供应对方案。

HackerNews 编译，转载请注明出处：

固件安全与供应链风险管理公司 Binarly 周二报告称，联想设备受到多个漏洞影响，其中一些漏洞可能允许攻击者在目标系统上部署持久性植入程序。

Binarly 在联想一体台式机中发现了总共六个漏洞，具体存在于系统管理模式（SMM）中，这是一种用于低级系统管理的操作模式。

由于 SMM 在操作系统加载之前启动，并且在重新安装系统后仍然存在，因此对于试图绕过安全启动（旨在确保启动时仅加载可信软件的安全功能）并部署隐蔽恶意软件的威胁行为者来说，它可能是一个理想目标。

这些漏洞已被分配 CVE 标识符，从 CVE-2025-4421 到 CVE-2025-4426。其中四个被评为 “高严重性”，其余则被归类为 “中严重性”。

高严重性漏洞属于内存损坏问题，可能导致在 SMM 中发生权限提升和任意代码执行。中严重性漏洞可能导致信息泄露和安全机制被绕过。

能够接触到目标联想设备的威胁行为者可利用这些漏洞绕过 SPI 闪存保护措施和安全启动，部署能在操作系统重新安装后仍然存在的植入程序，甚至破坏虚拟机监控程序隔离。

Binarly 于 4 月向联想报告了这些漏洞，厂商在 6 月确认了相关发现。目前，联想已提供补丁和缓解措施。

联想和 Binarly 均将于周二发布描述这些漏洞的安全公告。

 

 

 

---

消息来源：securityweek；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文