所属分类 > 病毒与安全 > 漏洞与防护 > 安全公告:LEN-24374 System Management Module 漏洞

安全公告:LEN-24374 System Management Module 漏洞

. 2018-12-10 17:54:29 | 知识编号: 179671

故障现象:

Lenovo 安全公告:LEN-24374


潜在影响:权限提升


严重性


影响范围:Lenovo 特有的产品


CVE ID:CVE-2018-9083、CVE-2018-9084、CVE-2018-16089、CVE-2018-16090、CVE-2018-16091、CVE-2018-16092、CVE-2018-16094、CVE-2018-16095、CVE-2018-16096


摘要描述:


Lenovo 在对 System Management Module 固件的安全审核中发现了以下漏洞。SMM 联网在缺省情况下禁用,因此除非启用网络连接,否则无法利用以下漏洞:


CVE-2018-16089:SMM 固件更新映像标头中的一个字段未充分净化,允许作为根用户认证后在 SMM 上注入命令。


CVE-2018-16090:SMM 证书创建和解析逻辑易受认证后命令注入的影响。


CVE-2018-16091:SMM 证书创建和解析逻辑易导致若干缓冲区溢出。


CVE-2018-9083:SMM 包含弱缺省根凭证,如果攻击者通过其他漏洞成功启用了 SSH 或 Telnet,这些凭证可能被用于登录设备操作系统。


CVE-2018-9084:如果攻击者成功登录了设备操作系统,软件更新的验证可能被绕过。


CVE-2018-16092:FFDC 功能包括收集包含敏感信息的 SMM 系统文件,尤其是 SMM 用户帐户凭证和系统影子文件。


CVE-2018-16094:检索配置设置的一个内部 SMM 功能易导致缓冲区溢出。


CVE-2018-16095:用户认证失败时,SMM 将经过哈希处理的密码记录到调试日志。


CVE-2018-16096:更改机柜 VPD 的 SMM Web 界面未能充分清理所有输入中的 HTML 标记,可能会打开跨站脚本的路径。


解决方案:

应采取哪些措施进行自我保护:


更新到以下“产品影响”部分中针对您的产品型号列出的 SMM 固件级别(或更高)。


更新前请遵循常规安全性最佳实践:禁用 SMM 联网或仅将 SMM 连接到受信任的网络,设置唯一用户 ID 和强密码,并禁用或删除缺省凭证。


产品影响:


运行 SMM 固件版本 1.05 及更早版本时,以下产品易受影响。单击此处为您的型号下载固件版本 1.06(或更高版本):


Lenovo ThinkSystem D2 机柜,机器类型 7X20


Lenovo ThinkSystem 模块化机柜,机器类型 7X22


Lenovo ThinkAgile VX 机柜,机器类型 7Y11


LenovoThinkAgile HX 机柜,机器类型 7X81、7Z02、7Y87


Lenovo ThinkAgile VX 机柜,机器类型 7Y91


联想网站提供的技术方案或与您产品的实际情况有所差异,您需在完整阅读方案并知晓其提示风险的情况下谨慎操作,避免造成任何损失。