Lenovo 安全公告：LEN-20527

潜在影响：权限提升

严重性：高

影响范围：全行业

CVE ID：CVE-2018-9062、CVE-2018-12169

摘要描述​：如果攻击者可以无约束地实际接触系统并拥有拆解系统的技术，可能可以将硬件 SPI 编程器连接到 BIOS 存储设备并重新编写设备内容。通过检测未经 Lenovo 数字签名的代码，Intel Boot Guard 可防止此情况的发生。但已发现该代码验证过程存在两个漏洞：

• CVE-2018-9062：有一个 BIOS 区域未正确包含在该检查中，可以注入任意代码。


• CVE-2018-12169：由 Intel 提供并被 Lenovo 用在多个产品中的平台样本固件在一个不应包含可执行代码的区域中扫描并执行代码。

应采取哪些措施进行自我保护：

将 BIOS/UEFI 更新到“产品影响”部分中针对您的产品型号建议的版本（或更高版本）。

产品影响：

这些漏洞仅影响 ThinkPad 产品。

ThinkPad