Plus de 100 modèles laptop de Lenovo touchés par des bugs UEFI

Lenovo a publié un avis de sécurité à propos de failles dans l’Unified Extensible Firmware Interface (UEFI) d’au moins 100 de ses modèles d’ordinateur portable. Une mise à jour du firmware corrige le problème.

Des millions d’ordinateurs portables – une centaine de modèles différents – de Lenovo courent un risque, s’ils ne sont pas rapidement actualisés au moyen du nouveau firmware UEFI. Ce sont des chercheurs de la firme de sécurité ESET qui avaient découvert en octobre de l’année dernière trois sérieux problèmes de sécurité dans des laptops de Lenovo, plus précisément dans le firmware UEFI: le successeur du BIOS encore et toujours mieux connu et le firmware qui gère tout le hardware d’un ordinateur pour s’assurer avant tout que ce dernier peut démarrer. Les failles découvertes permettraient à des hackers d’installer et d’exécuter de dangereux maliciels UEFI tels LoJax et ESPecter. Ces maliciels UEFI peuvent être particulièrement discrets et dangereux, parce qu’ils demandent d’être exécutés durant le processus de démarrage, avant même que le contrôle ne soit transmis au système d’exploitation tel Windows.

Mises à jour disponibles

Les bugs (CVE-2021-3970, CVE-2021-3971, CVE-2021-3972, ndlr) se situent dans le firmware UEFI de quelque 100 modèles d’ordinateurs portables surtout destinés aux consommateurs, comme la série IdeaPad 3 ou certains modèles des séries Yoga Slim 7 et 9, ainsi que Legion 5 Pro notamment. En tout, il est question de millions d’appareils, selon ESET. Aussitôt après la découverte des problèmes, la firme de sécurité a averti Lenovo. La bonne nouvelle, c’est que les mises à jour nécessaires du firmware sont à présent disponibles. Et la moins bonne nouvelle, c’est que tout un chacun – et de loin – ne se hâtera probablement pas d’installer les mises à jour sur un appareil qui fonctionne parfaitement. Lenovo a dressé ici la liste des ordinateurs portables concernés, conjointement avec des liens où les mises à jour du firmware peuvent être téléchargées. Lenovo et ESET recommandent à juste titre d’actualiser la version du firmware système vers la toute nouvelle version disponible.

Des portes dérobées restées ouvertes par mégarde

Deux des trois problèmes de sécurité sont dus à deux pilotes UEFI – SecureBackDoor et SecureBackDoorPeim – qui sont utilisés durant le processus de production. En fait, ce sont des portes dérobées qui sont restées ouvertes par mégarde après la production. Via ces portes dérobées, des ‘implants’ nuisibles peuvent être ajoutés à UEFI. C’est potentiellement très dangereux, précisément parce qu’ils sont chargés avant que le système d’exploitation ne démarre. Dans le passé déjà, ESET avait découvert deux de ces implants. C’est ainsi qu’en 2018, la firme se heurta à Lojax: un rootkit utilisé par des organisations sponsorisées par la Russie, telles APT28, Fancy Bear, Strontium et Sednit. Et l’année dernière, ESET découvrit aussi ESPecter, dont il était alors apparu que ce bootkit pour systèmes BIOS était utilisé depuis 2012 déjà. Le concurrent d’ESET, Kaspersky, a lui aussi déniché ces deux dernières années quelques maliciels UEFI tels MosaicRegressor (2020), Finspy (2021) et MoonBounce (début 2022).