T480/s T480 - BIOS 1.52 - CVE-2024-29979, CVE-2024-29980 - was wird hier gefixt ?

[pepun]

Hallo ans Forum,

ich habe diverse T480 mit deaktiviert Management Engine und war gerade im Rahmen einer Neuinstallation eines Gerätes dabei, das BIOS auf 1.52 zu flashen. Leider gibt es da wohl Einschränkungen hinsichtlich Advanced BIOS Menu und me_cleaner.

Im Rahmen einer Abwägung hatte ich dann mal nach den Security Fixes der Version 1.52 geschaut, diese sollen die nachfolgende Lücken schließen:

CVE-2024-29979, CVE-2024-29980 - hierzu finde ich nichts im Netz außer Status "reserved" in der CVE-Datenbank
CVE-2024-24853 - nur mit "Local Access" auszunutzen
CVE-2023-45236, CVE-2023-45237 - Schwachstellen in PXE [1], dieses ist sowieso deaktiviert.

Die letzten beiden Zeilen schätze ich für meine Anwendung als unproblematisch ein ... aber was verbirgt sich hinter den beiden Einträgen in Zeile 1, wenn man dazu so überhaupt nichts findet?

Grüße, pepun.

[1] https://blog.quarkslab.com/pixiefai...-in-tianocores-edk-ii-ipv6-network-stack.html

 

[Mornsgrans]

Google doch einfach mal nach den CVE-Nummern.
Die erste von Dir genannte wirft als vierten Treffer aus:

NVD - CVE-2024-29779

nvd.nist.gov

 

[pepun]

Jetzt habe ich doch am frühen Morgen an meiner Fähigkeit zur abendlichen Websuche gezweifelt .... bei dir ist da allerdings ein Zahlendreher drin.

Unter den CVE-2024-29979 und CVE-2024-29980 findet man so gut wie nix aber Lenovo fixt das für ein sehr altes Gerät. Ich finde das merkwürdig.

 

[Mornsgrans]

aber Lenovo fixt das für ein sehr altes Gerät. Ich finde das merkwürdig.

Das kommt schon mal vor. Und wenn es für ältere Geräte tatsächlich vorkommt, dürfte es sich um eine sehr kritische Sicherheitslücke handeln.

Der von mit oben verlinkte CVE ist tatsächlich ein anderer. Dass "*reserved*" unter dem von Dir genannten CVE steht, lässt Spekulationen zu, könnte aber mit Absicht dort stehen, um (weiteres) ausnutzen der Lücke durch Nachahmer zu vermeiden. - Würde zu meinem ersten Absatz dieses Beitrags passen.