Cả 3 lỗ hổng đều cho phép kẻ tấn công có được quyền hạn cao nhất trên máy tính bằng cách này hay cách khác. Theo các nhà nghiên cứu, lỗ hổng ảnh hưởng đến hơn 100 mẫu laptop khác nhau. Tuy nhiên, may mắn thay Lenovo đã bắt đầu phát hành các bản vá sửa lỗi.
- CVE-2021-3970: Một lỗ hổng tiềm ẩn trong LenovoVariable SMI Handler, cho phép kẻ tấn công có quyền truy cập và thực thi mã tùy ý với các đặc quyền nâng cao.
- CVE-2021-3971: Một lỗ hổng tiềm ẩn do driver đã cũ, cho phép kẻ tấn công có thể sửa đổi vùng bảo vệ firmware.
- CVE-2021-3972: Một lỗ hổng tiềm ẩn do driver bị vô hiệu hóa nhầm lẫn, cho phép kẻ tấn công sửa đổi các cài đặt liên quan đến secure boot.
3 lỗ hổng được phát hiện ảnh hưởng đến các mẫu laptop như Lenovo Flex, IdeaPads, Legion, dòng V14, V15 và V17 và Yoga.
Nhà nghiên cứu Martin Smolár của ESET cho biết: “Các mối đe dọa UEFI có thể cực kỳ lén lút và nguy hiểm. Chúng được thực thi sớm trong quá trình khởi động, trước khi chuyển quyền kiểm soát sang hệ điều hành, có nghĩa là chúng có thể bỏ qua hầu hết các biện pháp bảo mật”.