故障现象

Lenovo 安全公告：LEN-178303

潜在影响：拒绝服务、权限提升、信息泄露

严重性：高

影响范围：全行业

CVE ID：CVE-2023-22351、CVE-2023-23904、CVE-2023-25546、CVE-2023-41833、CVE-2023-42772、CVE-2023-43626、CVE-2023-43753、CVE-2024-21820、CVE-2024-21829、CVE-2024-21850、CVE-2024-21853、CVE-2024-21871、CVE-2024-22185、CVE-2024-23599、CVE-2024-23918、CVE-2024-23984、CVE-2024-24968、CVE-2024-24985、CVE-2024-25565、CVE-2024-33658、CVE-2024-33660、CVE-2024-36242、CVE-2024-38660、CVE-2024-39707、CVE-2024-42442

摘要描述：

AMI 报告了 BIOS 中存在潜在缓冲区溢出漏洞，该漏洞可能允许本地攻击者提升权限并执行任意代码。 CVE-2024-33658

AMI 报告了 BIOS 中存在潜在漏洞，该漏洞可能允许物理攻击者执行任意代码。CVE-2024-33660

AMI 报告了 BIOS 中存在潜在缓冲区溢出漏洞，该漏洞可能允许本地攻击者将权限提升至 SMM。CVE-2024-42442

AMI 已发布 AMI BIOS 的安全增强功能。未提供 CVE。

Insyde 报告了一个漏洞，该漏洞可能允许攻击者修改 UEFI 变量。INSYDE-SA-2024007：CVE-2024-39707

Intel 报告了部分带有 Intel Alias Checking Trusted Module（Intel ACTM）的 Intel 处理器存在潜在安全漏洞，这些漏洞可能导致权限提升。INTEL-SA-01111：CVE-2024-22185、CVE-2024-24985

Intel 报告了部分 Intel Xeon 处理器的 UEFI 固件中存在潜在安全漏洞，该漏洞可能导致拒绝服务。INTEL-SA-01085：CVE-2024-25565

Intel 报告了部分 Intel TDX Seamldr 模块软件中存在潜在安全漏洞，该漏洞可能导致权限提升。INTEL-SA-01076：CVE-2024-21850

Intel 报告了部分第 4 代和第 5 代 Intel Xeon 处理器中存在潜在安全漏洞，该漏洞可能导致拒绝服务。INTEL-SA-01101：CVE-2024-21853

Intel 报告了采用 Intel Software Guard Extensions（Intel SGX）的部分 Intel Xeon 处理器中存在潜在安全漏洞，这些漏洞可能导致权限提升。INTEL-SA-01079：CVE-2024-21820、CVE-2024-23918

Intel 报告了部分 Intel 处理器的子页面写权限（SPP）中存在潜在安全漏洞，这些漏洞可能导致权限提升。 INTEL-SA-01196：CVE-2024-36242、CVE-2024-38660

Intel 报告了部分 Intel 处理器的 UEFI 固件中存在潜在安全漏洞，这些漏洞可能导致权限提升、拒绝服务或信息泄露。INTEL-SA-01071：
CVE-2024-23599、CVE-2023-22351、CVE-2024-21871、CVE-2023-43626、CVE-2023-25546、CVE-2023-42772、CVE-2024-21829、CVE-2024-21871、CVE-2023-41833、CVE-2023-23904、CVE-2023-43753

Intel 报告了部分 Intel 处理器的硬件逻辑中存在不正确的有限状态机（FSM），可能允许特权用户通过本地访问启用拒绝服务。INTEL-SA-01097：CVE-2024-24968

Intel 报告了部分 Intel 处理器的 Running Average Power Limit（RAPL）接口中存在潜在安全漏洞，该漏洞可能导致信息泄露。 INTEL-SA-01103：CVE-2024-23984

解决方案

将系统固件升级到“产品影响”部分中针对您的产品型号列出的版本（或更高版本）。

产品影响：

要下载以下专为您的产品指定的版本，请执行以下步骤：

导航到您的产品的 Drivers & Software（驱动程序和软件）支持站点：

Lenovo 产品（全球销售，中国除外）：https://support.lenovo.com/
Lenovo 产品（中国销售）：https://newsupport.lenovo.com.cn/
IBM 品牌的早期 System x 产品：https://www.ibm.com/support/fixcentral/

按名称或机器类型搜索产品。
单击左侧菜单面板上的 Drivers & Software（驱动程序和软件）。
单击 Manual Update（手动更新）按组件类型浏览。
将以下产品适用表中适合您的产品的最低修复版本与支持站点上发布的最新版本进行对比。

Lenovo 还提供了更新管理辅助工具，可替代上述手动步骤。如需其他帮助，请参考以下资源：

PC 产品和软件：https://support.lenovo.com/us/en/solutions/ht504759

服务器和企业软件：https://support.lenovo.com/us/en/solutions/lnvo-lxcaupd 和 https://datacentersupport.lenovo.com/us/en/documents/lnvo-center

单击下方链接查看受影响的产品：

联想问天

产品型号	部件	CVE-2024-42442	CVE-2024-23599, CVE-2023-22351, CVE-2024-21871, CVE-2023-43626, CVE-2023-25546, CVE-2023-42772, CVE-2024-21829, CVE-2024-21871, CVE-2023-41833, CVE-2023-23904, CVE-2023-43753
WR5220 G3/WR5228 G3	Baseboard Management Controller (BMC) Lenovo WenTian WR5220 G3/WR5228 G3	T8E184G-2.72	T8E196N-2.84
WA5480 G3	Baseboard Management Controller (BMC) Lenovo WenTian WA5480 G3	t8e102m-1.80	t8e102m-1.80

产品型号	部件	CVE-2024-24968	CVE-2024-23984	CVE-2024-21850
WR5220 G3/WR5228 G3	Baseboard Management Controller (BMC) Lenovo WenTian WR5220 G3/WR5228 G3	T8E196N-2.84	T8E196N-2.84	T8E196N-2.84
WA5480 G3	Baseboard Management Controller (BMC) Lenovo WenTian WA5480 G3	t8e102m-1.80	t8e102m-1.80	t8e102m-1.80