Sicherheitslücke: Neue Baustelle bei Lenovo BIOS

gehe ich recht in der Annahme, dass das T420 keinen offiziellen Support mehr bekommt und deshalb nicht unter dem Link von ibmthink zu finden ist?
 
Das X220 scheint ja auch betroffen zu sein und es ist ebenfalls nicht bei Lenovo aufgelistet, obwohl m.E.n. das letzte offizielle BIOS Update dafür noch gar nicht so lange her ist. Chancen auf ein weitere Update?
 
Es wäre schade, wenn man deswegen eine neue Biosversion bräuchte, die all die Einschränkungen nach z.B. der Version 1.37 beim T420 hat.
 
Naja es wäre ja wundervoll wenn man überhaupt noch ein Update bekäme, nach cuco ist das T420 (und damit wahrsch. auch das X220) ja schon aus dem Support Zeitrahmen raus, weshalb es wohl kein Update bekommen würde.

- - - Beitrag zusammengeführt - - -

Hat sich zufällig jemand mit mehr Verständnis von der Materie mit der Thematik befasst und kann beurteilen ob die Generation des T410 (als letzte ohne UEFI, aber als erste mit neuen Intel chipsets), wahrscheinlich auch davon betroffen ist?
Wollte mich eigentlich an diesem Wochenende für ein Modell entscheiden, aber das T420 fällt nun raus und das T430 wird nicht allzu schnell Updates sehen. Wenn ich das hier richtig gesehen habe werden die ersten Updates erst ca. Anfang August veröffentlicht und dann natürlich auch erst für die neuesten Serien.
 
AFAIK liegt die Lücke im UEFI-Code. Daher dürften Geräte ohne UEFI grundsätzlich nicht betroffen sein. Ohne Gewähr ;)
 
Hm
so wie ich das verstanden habe ist die Lücke in einer der Intel Funktionen und die derzeitigen Exploits basieren auf UEFI.
Ich bin mal gespannt wenn da mal mehr veröffentlicht wird.
Leider werden wir wohl nie erfahren ob die 10er Serie und ältere sicher sind.
Naja abgesehen vom T400/X200 mit libreboot, aber der Preis/Aufwand diese mittlerweile schon etwas angestaubte Technik zu bekommen, ist auch nicht von schlechten Eltern.
 
mccs schrieb:
Man sollte also die gute alte Schreibmaschine oder gar den Füllfederhalter noch ein paar Jahre weiter aufbewahren, wenn man morgen noch Nachrichten altmodisch aber sicher per Post oder Fax weiterleiten möchte.
Zum Vergrößern anklicken....
Gute Idee, da die Faxe ja auch nicht abgehört werden können.
 
Jop, bei mir geht die Seite auch. Und interessant: Inzwischen sind die x20-Modelle mit in der Liste aufgetaucht. Ebenfalls betroffen, Update aber in Planung. Also gibt es wohl trotz Support-Ende noch einen Fix :) Und wenn es stimmt, dass non-UEFI-Modelle grundsätzlich nicht betroffen sind, dann werden damit offenbar alle Modelle von Lenovo, die betroffen sind, gefixt. Egal, wann Support-Ende war/ist. :)
 
Ich fürchte, bei betroffenen Modellen sind alle bisher veröffentlichten BIOS-Versionen betroffen.

Übrigens noch eine (erschreckende) Präsentation dazu: http://www.legbacore.com/Research_files/HowManyMillionBIOSWouldYouLikeToInfect_Full2.pdf
Die Jungs haben u.a. ein Rootkit dafür geschrieben. Danach konnten sie auch das speziell auf Security ausgelegte Live-Linux "Tails" quasi "knacken" und PGP-Keys aus dem RAM auslesen. Und sie konnten quasi jedes Gerät knacken. Wenn nicht direkt über diese UEFI-Lücke, dann über andere Arten und Weisen (AMT z.B.)

Aber positiv: Sie arbeiten mit Dell und Lenovo an Sicherheitsanalysen und sie arbeiten mit Intel an einer Möglichkeit, SMM per Hardware-Virtualisierung vom Rest des Systems zu isolieren. Wenn das ganze dann wiederum in die BIOSe/UEFIs eingespielt wird, könnte man diese vielfältige(n) Lücke(n) tatsächlich schließen. Problem ist nur, dass die wenigsten Leute BIOS-Updates einspielen...
 
Zuletzt bearbeitet:
Das Problem ist, dass im BIOS/UEFI jede Menge Dinge implementiert werden, die man besser ins Betriebssystem verlagern sollte. Es würde völlig ausreichen den OS-Kernel zu laden und diesem weitestgehend Initialisierung bzw. Konfiguration der HW zu überlassen.
 
Das sind ja interessante Neuigkeiten. Bin mal gespannt, ob sie sich die 10er Serie auch nochmal anschauen, schön wärs ja.

@Raph: höchstwahrscheinlich alle Versionen:
"Die zugrundeliegende Sicherheitslücke wurde von Intel offenbar bereits im Jahr 2014 gepatcht, einige Hersteller haben offenbar alten Code für die Erstellung ihrer Bios beziehungsweise UEFI-Versionen verwendet."-Golem.de

@cuco: Über die Präsentation bin ich vor ein paar Tagen auch gestolpert. Wieder ein Vortrag den ich gerne angehört hätte auch wenn er zutiefst beunruhigend ist. Die Frage ist nur, ob diese neu entwickelten Features in älteren Produktserien nachgebessert werden.

@linrunner: Schön wärs! Leider konnte ich bisher nur die oben angesprochenen T400 und X200 finden, bei denen das möglich wäre.

Zur Zeit komme ich mir da schon irgendwie verarscht vor. In meiner Familie wurde ein L440 angeschafft und abgesehen vom unterirdischen Clickpad, hat es mittlerweile, wenn ich mich recht entsinne, die dritte schwere Firmwarelücke, aufgrund derer man Updaten darf.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
  • ok1.de
  • ok2.de
  • thinkstore24.de
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben