聯想PC兩個月之內再爆安全漏洞

     7月6日消息,在今年6月份聯想發布了一份安全公告,公告中指出該公司在超過110個型號的筆記本電腦和臺式機中預裝的Lenovo Accelerator Application存在安全漏洞,主要表現是聯想PC會偷偷下載自家升級軟件（被卸載后又會自動安裝）,當中甚至還存在安全漏洞。

　　日前,安全專家Dymtro "Cr4sh" Oleksiuk聲稱自己又發現了一個聯想PC中存在的漏洞,可讓攻擊者繞過Windows的基本安全協議。

　　問題出在系統維護模式（SMM）的源代碼中,這一般是主板驅動程序的一部分。研究人員表示,黑客可能利用此漏洞禁用主板FLASH的寫保護功能,進而改寫某些驅動程序。

　　還可禁用安全啟動選項,甚至是Windows 10內置的安全設置如Device Guard和Credential Guard。該攻擊代碼名為ThinkPwn,被植入在電腦初始化代碼里,在啟動時被訪問。從理論上講,該代碼可以被修改,并運行在操作系統級別上,一些惡意軟件開發者可在運行中嵌入的惡意代碼。

　　Oleksiuk提到聯想的這些驅動程序代碼是從英特爾直接復制粘貼的,他擔心 惠普等廠商也有相同的安全漏洞。

　　聯想表示,他們的工程師沒有開發此類易受攻擊的SMM代碼,而是由與英特爾合作的第三方公司提供,然后在英特爾的IBV之 上添加UEFI代碼。其中IBV支持獨立BIOS供應商,現成的代碼包集成在BIOS和UEFI上,以確保與其他設備組件間的兼容性。

　　這個漏洞早在2014年就被Intel工程師修復,但不知為何又出現在UEFI之中。聯想官方稱目前正在調查該問題,并將與合作伙伴共同努力,盡快修復。