联想 Windows 笔记本又曝安全启动漏洞：官方发布公告及固件

软餐获悉，网安厂商 ESET 的研究人员 Martin Smolár 在部分联想 Windows 11 和 Windows 10 笔记本电脑中又发现了三个新的漏洞。存在于驱动程序执行环境 (DXE) 驱动程序中的漏洞可允许攻击者通过修改 NVRAM 变量来禁用安全启动。为此，微软官方发布了安全公告，并提供了修复漏洞的固件。用户可访问联想官网查询影响机型，并获取最新的固件。

联想要求受影响机型的用户更新固件：

对于 CVE-2022-3432，Ideapad Y700-14ISK 的开发支持已结束，不会发布任何修复程序。联想建议客户采用安全计算实践，包括主动系统生命周期管理。

对于 CVE-2022-3430 和 CVE-2022-3431，将系统固件更新到产品影响部分中为您的型号指定的版本（或更高版本）。

联想的安全公告称：

Lenovo Notebook BIOS 中报告了以下漏洞。

CVE-2022-3430：一些消费者联想笔记本设备上的 WMI 设置驱动程序中的一个潜在漏洞可能允许具有提升权限的攻击者通过修改 NVRAM 变量来修改安全启动设置。

CVE-2022-3431：在某些消费者联想笔记本设备的制造过程中使用的驱动程序中存在潜在漏洞，该漏洞被错误地未停用，可能允许具有提升权限的攻击者通过修改 NVRAM 变量来修改安全启动设置。

CVE-2022-3432：Ideapad Y700-14ISK 在制造过程中使用的驱动程序中存在一个潜在漏洞，该漏洞被错误地未停用，可能允许具有提升权限的攻击者通过修改 NVRAM 变量来修改安全启动设置。

今年 4 月初，该研究人员已在多款联想笔记本电脑发现了易受攻击的 UEFI 固件漏洞。