Lenovo: kritische Schwachstellen in Barebone Firmware

Lenovo hat eine Sicherheitswarnung für seine Barebone Enclosures herausgegeben. Die Firmware der System Management Module (SMM v1 und v2) sowie des Fan Power Controller (FPC) weist kritische Schwachstellen aus, die zu Denial Of Service, Informationslecks und Privilegienerweiterungen führen können.

Die intern durchgeführte Produktsicherheitsüberprüfung deckte die folgenden Schwachstellen auf:

  • CVE-2024-2659 und CVE-2023-4855: Beide betreffen Befehlsinjektionen, die es authentifizierten Nutzern mit erhöhten Rechten ermöglichen könnten, Systembefehle auszuführen.
  • CVE-2023-4856: Eine Format-String-Schwachstelle, die die Ausführung willkürlicher Befehle ermöglichen könnte.
  • CVE-2023-4857: Eine Schwachstelle, die das Umgehen von Authentifizierungsverfahren ermöglicht und begrenzten Zugriff auf Systeminformationen geben könnte.

Lenovo empfiehlt Nutzern dringend, ihre Systeme durch ein Update auf die neuesten Firmware-Versionen zu schützen, die auf der Lenovo Support-Seite verfügbar sind. Nutzer sollten auch allgemeine Sicherheitsbest practices wie die Beschränkung des Zugriffs auf vertrauenswürdige Nutzer im Netzwerk beachten.

Betroffene Produkte umfassen verschiedene Modelle der System x, ThinkAgile und ThinkSystem Reihen. Für jedes betroffene Produkt gibt es spezifische Firmware-Versionen, die das Problem adressieren. Nutzer können diese auf den Lenovo Support-Webseiten für ihre spezifische Region und Produkttyp herunterladen.

Tags :

Related Posts

LANCOM Router: Root Passwort wird ungewollt zurückgesetzt

LANCOM Systems hat kürzlich auf eine Sicherheitslücke in seiner Router-Software LCOS hingewiesen, die zu unbeabsichtigten Passwort-Resets führen kann. Die Lücke betrifft speziell das Administrator-Passwort „root“, welches unter bestimmten Umständen zurückgesetzt wird und durch einen leeren String ersetzt wird.

Read More

CISA warnt: Türoffner Chirp Access Systeme einfach zu hacken

Die amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine Warnung bezüglich einer Sicherheitslücke in den Chirp Access Systemen von Chirp Systems herausgegeben. Die Warnung, die unter dem Code ICSA-24-067-01 veröffentlicht wurde, weist auf eine kritische Schwachstelle hin, die es Angreifern ermöglichen könnte, uneingeschränkten physischen Zugang zu gesicherten Bereichen zu erlangen.

Read More

TU Graz: WebGPU Schwachstelle erlaubt Datendiebstahl

April 2024 - Forscher der Technischen Universität Graz haben bedenkliche Sicherheitslücken in der Browser-Schnittstelle WebGPU entdeckt, die es ermöglichen, über Seitenkanalangriffe auf Grafikkarten Zugriff auf fremde Computer zu erhalten. Diese Angriffe sind so schnell, dass sie während normaler Internetnutzung unbemerkt bleiben könnten. Die Schnittstelle WebGPU, die zunehmend für rechenintensive Aufgaben in Webbrowsern verwendet wird, ermöglicht es, die Grafikkarte (GPU) eines Computers zu nutzen. Die Forscher des Instituts für Angewandte Informationsverarbeitung und Kommunikationstechnologie an der TU Graz konnten zeigen, dass durch manipuliertes JavaScript auf Websites Daten wie Tastatureingaben oder Verschlüsselungsschlüssel ausgespäht werden können. Folgende Angriffszenarieren sind laut den Forschern möglich:

Read More