Lenovo製ノートPCのBIOSに複数の脆弱性 該当製品多岐にわたり注意

Lenovoは同社のノートPCのBIOSに複数の脆弱性が存在すると伝えた。これらの脆弱性を利用されるとセキュアブートの設定を変更される可能性があるとされており注意が必要だ。

[後藤大地，有限会社オングス]

　Lenovoは2022年11月8日、同社ノートPCのBIOSに「CVE-2022-3430」「CVE-2022-3431」「CVE-2022-3432」の3つの脆弱（ぜいじゃく）性が存在すると伝えた。

　これらの脆弱性を利用されると、セキュアブートの設定を変更される可能性があり注意が必要だ。該当製品を確認するとともに、迅速にアップデートを適用してほしい。

Lenovoは同社ノートPCのBIOSの脆弱性について伝えた（出典：LenovoのWebサイト）

該当のLenovo製品と脆弱性の詳細は？

　脆弱性が存在するLenovo製品は以下の通りだ。

• D330-10IGL ノートブック（ideapad）
• IdeaPad 5 Pro 16ARH7
• IdeaPad 5 Pro 16IAH7
• ideapad 5 Pro-16ACH6 ノートブック
• ideapad 5 Pro-16IHU6 ノートブック
• ideapad Creator 5-16ACH6ノートブック
• IdeaPad Duet 3 10IGL5
• Lenovo Slim 7 16ARH7
• Lenovo ThinkBook 15p IMH
• S540-15IML ノートブック（ideapad）
• Slim 7 Pro 16ACH6 ノートブック（IdeaPad）
• Slim 7-14ARE05 ノートブック（ideapad）
• Slim 7-14IIL05 ノートブック（ideapad）
• Slim 7-14ITL05 ノートブック（ideapad）
• Slim 7-15IIL05 ノートブック（ideapad）
• Slim 7-15IMH05 ノートブック（ideapad）
• Slim 7-15ITL05 ノートブック（ideapad）
• ThinkBook 13x ITG ノートブック
• ThinkBook 14 G2 ARE ノートブック
• ThinkBook 14 G2 ITL ノートブック
• ThinkBook 14 G3 ACL ノートブック
• ThinkBook 14 G3 ITL ノートブック
• ThinkBook 14 G4 ABAノートブック
• ThinkBook 14 G4+ ARA
• ThinkBook 14 G4+ IAP ノートブック
• ThinkBook 14p G3 ARH
• ThinkBook 14s Yoga ITL
• ThinkBook 15 G2 ARE ノートブック
• ThinkBook 15 G2 ITL ノートブック
• ThinkBook 15 G3 ACL ノートブック
• ThinkBook 15 G3 ITL ノートブック
• ThinkBook 15 G4 ABA ノートブック
• ThinkBook 15P G2 ITH
• ThinkBook 16 G4+ ARA
• ThinkBook 16 G4+ IAP ノートブック
• ThinkBook 16p G3 ARH
• ThinkBook 16p NX ARH
• ThinkBook Plus G2 ITG
• ThinkBook Plus G3 IAP
• Yoga Creator 7-15IMH05 ノートブック（ideapad）
• Yoga Duet 7-13IML05
• Yoga Duet 7-13ITL6
• Yoga Duet 7-13ITL6-LTE
• Yoga Slim 7 Carbon 13ITL5（ideapad）
• Yoga Slim 7 Pro 16ACH6 ノートブック（IdeaPad）
• Yoga Slim 7 Pro 16ARH7
• Yoga Slim 7-13ACN05 ノートブック（ideapad）
• Yoga Slim 7-13ITL05 ノートブック（ideapad）
• Yoga Slim 7-14ARE05 ノートブック（ideapad）
• Yoga Slim 7-14IIL05 ノートブック（ideapad）
• Yoga Slim 7-14ITL05 ノートブック（ideapad）
• Yoga Slim 7-15IIL05 ノートブック（ideapad）
• Yoga Slim 7-15IMH05 ノートブック（ideapad）
• Yoga Slim 7-15ITL05 ノートブック（ideapad）

　また、今回修正の対象となっている脆弱性は以下の通りだ。

• CVE-2022-3430：WMISetupドライバに潜在的な脆弱性が存在しており、特権を持つサイバー攻撃者がNVRAM変数を変更することでセキュアブート設定を変更できる可能性がある
• CVE-2022-3431：デバイス製造プロセスで使用されるドライバに誤って無効化されない潜在的な脆弱性が存在しており、特権を持つサイバー攻撃者がNVRAM変数を変更することでセキュアブート設定を変更できる可能性がある
• CVE-2022-3432：Ideapad Y700-14ISK製造プロセスで使用されるドライバに誤って無効化されない潜在的な脆弱性が存在しており、特権を持つサイバー攻撃者がNVRAM変数を変更することでセキュアブート設定を変更できる可能性がある

　今回の脆弱性はBIOSアップデートの適用で問題を修正できるとされている。該当製品を使用している場合、迅速にアップデートを適用してほしい。