Lenovo 安全公告：LEN-24374

潜在影响：权限提升

严重性：高

影响范围：Lenovo 特有的产品

CVE ID：CVE-2018-9083、CVE-2018-9084、CVE-2018-16089、CVE-2018-16090、CVE-2018-16091、CVE-2018-16092、CVE-2018-16094、CVE-2018-16095、CVE-2018-16096

摘要描述：

Lenovo 在对 System Management Module 固件的安全审核中发现了以下漏洞。SMM 联网在缺省情况下禁用，因此除非启用网络连接，否则无法利用以下漏洞：

CVE-2018-16089：SMM 固件更新映像标头中的一个字段未充分净化，允许作为根用户认证后在 SMM 上注入命令。

CVE-2018-16090：SMM 证书创建和解析逻辑易受认证后命令注入的影响。

CVE-2018-16091：SMM 证书创建和解析逻辑易导致若干缓冲区溢出。

CVE-2018-9083：SMM 包含弱缺省根凭证，如果攻击者通过其他漏洞成功启用了 SSH 或 Telnet，这些凭证可能被用于登录设备操作系统。

CVE-2018-9084：如果攻击者成功登录了设备操作系统，软件更新的验证可能被绕过。

CVE-2018-16092：FFDC 功能包括收集包含敏感信息的 SMM 系统文件，尤其是 SMM 用户帐户凭证和系统影子文件。

CVE-2018-16094：检索配置设置的一个内部 SMM 功能易导致缓冲区溢出。

CVE-2018-16095：用户认证失败时，SMM 将经过哈希处理的密码记录到调试日志。

CVE-2018-16096：更改机柜 VPD 的 SMM Web 界面未能充分清理所有输入中的 HTML 标记，可能会打开跨站脚本的路径。

应采取哪些措施进行自我保护：

更新到以下“产品影响”部分中针对您的产品型号列出的 SMM 固件级别（或更高）。

更新前请遵循常规安全性最佳实践：禁用 SMM 联网或仅将 SMM 连接到受信任的网络，设置唯一用户 ID 和强密码，并禁用或删除缺省凭证。

产品影响：

运行 SMM 固件版本 1.05 及更早版本时，以下产品易受影响。单击此处为您的型号下载固件版本 1.06（或更高版本）：

Lenovo ThinkSystem D2 机柜，机器类型 7X20

Lenovo ThinkSystem 模块化机柜，机器类型 7X22

Lenovo ThinkAgile VX 机柜，机器类型 7Y11

LenovoThinkAgile HX 机柜，机器类型 7X81、7Z02、7Y87

Lenovo ThinkAgile VX 机柜，机器类型 7Y91