Theo đó, nhà nghiên cứu Martin Smolár của ESET (Slovakia) cho biết, hai lỗ hổng CVE-2021-3971 và CVE-2021-3972 ảnh hưởng đến trình điều khiển firmware chỉ được sử dụng trong quá trình sản xuất máy tính xách tay của Lenovo. Không may, firmware này bị đưa nhầm vào các hình ảnh BIOS hoàn chỉnh để xuất xưởng mà không được tắt đúng cách.

Việc khai thác thành công các lỗ hổng cho phép tin tặc vô hiệu hóa tính năng bảo vệ SPI flash hoặc khởi động an toàn và có thể cài đặt phần mềm độc hại với khả năng tồn tại bền bỉ trên hệ thống.

Lỗ hổng định danh CVE-2021-3970 liên quan đến vấn đề hỏng bộ nhớ trong chế độ quản lý hệ thống (SMM) của Lenovo, dẫn đến việc thực thi mã độc với các đặc quyền cao nhất.

Ba lỗ hổng này đã được báo cáo cho nhà sản xuất từ 10/2021, các bản vá được phát hành vào 4/2022. Các lỗ hổng này ảnh hưởng đến Lenovo Flex; IdeaPads; Legion; dòng V14, V15 và V17 và máy tính xách tay Yoga.

Smolár cho biết, các lỗ hổng liên quan đến UEFI rất nguy hiểm và khó phát hiện. Đây là một trong những thành phần được thực thi đầu tiên trong quá trình khởi động, trước khi chuyển quyền kiểm soát sang hệ điều hành. Do đó, mã độc liên quan đến UEFI có thể qua mặt hầu hết tất cả các biện pháp bảo mật.