Las vulnerabilidades críticas en los sistemas IdeaCentre y Yoga All-in-One de Lenovo podrían permitir a los atacantes locales privilegiados ejecutar el código arbitrario y acceder a la información del sistema confidencial.
Las vulnerabilidades afectan las implementaciones de BIOS InsydeH2O utilizadas en modelos específicos de computadora de escritorio Lenovo y todo en uno, con puntajes CVSS que varían de 6.0 a 8.2, lo que indica riesgos de alta gravedad.
Control de llave
1. Seis vulnerabilidades de BIOS permiten a los atacantes ejecutar código malicioso en los sistemas Lenovo.
2. Afecta las computadoras de escritorio todo en uno de Lenovo IdeaCentre y Yoga.
3. Patches de BIOS disponibles, las correcciones de yoga pronto.
Vulnerabilidades críticas de SMM
Las fallas de seguridad se centran en las vulnerabilidades del modo de gestión del sistema (SMM) que podrían otorgar a los atacantes acceso sin precedentes a los recursos del sistema.
Se han asignado seis identificadores distintos de vulnerabilidades y exposiciones (CVE) a estos problemas, cada uno con la puntuación CVSS máxima de 8.2.
CVE-2025-4421 es una corrupción de memoria en el servicio de protocolo CPU de SMM que permite a los atacantes escribir datos más allá de los límites de memoria asignados, sobrescribiendo el código del sistema crítico.
Escribe vulnerabilidad de los límites CVE-2025-4422 en el protocolo de base de datos de configuración de la plataforma de SMM, lo que permite a los atacantes corromper la memoria y ejecutar código malicioso.
Además, el desbordamiento del búfer CVE-2025-4423 en el módulo de automatización de configuración permite a los atacantes inyectar y ejecutar código arbitrario dentro del entorno SMM altamente privilegiado.
Validación de entrada Flaw CVE-2025-4424 permite a los atacantes hacer llamadas no autorizadas a funciones variables del sistema con parámetros maliciosos, alterando potencialmente la configuración del sistema.
Overflojo de búfer basado en pila CVE-2025-4425 en los manejadores de interrupción del sistema que pueden explotarse para sobrescribir las direcciones de retorno y ejecutar código controlado por el atacante.
Vulnerabilidad de divulgación de información CVE-2025-4426 que filtra datos confidenciales de la memoria de gestión del sistema protegida (SMRAM) a procesos no autorizados.
Todas las vulnerabilidades requieren altos privilegios (acceso de administrador local) para explotar, pero pueden conducir a un compromiso completo del sistema una vez ejecutado.
El equipo de investigación binarly, acreditado Al descubrir estas vulnerabilidades a través de la divulgación coordinada, enfatiza la naturaleza crítica de estos defectos de seguridad de nivel SMM.
CVE IDTITLECVSS 3.1 ScoreSeverityCVE-2025-4421SMM Protocolo de CPU Corrupción de memoria 8.2HighCVE-2025-4422SMM PCD Protocolo Memoria Corrupción 8.2HIGHCVE-2025-4423Setupautomations Mm Validación Bypass6.0MediumCve-2025-4425 Smack Stack Overflow8.2HighCVE-2025-4426SMRAM Divulgación de información 6.0 Medium
Productos afectados
Las vulnerabilidades afectan varias líneas de productos de Lenovo, incluidas los modelos IdeaCentre AIO 3 24ARR9 y 27ARR9, así como múltiples sistemas de yoga AIO, incluidas las variantes 27iah10, 32ill10 y 9 32IRH8.
Los problemas de seguridad afectan específicamente los componentes de EfismIservices, incluidas las implementaciones de gefismmcpuprotocol y efipcdprotocol dentro de los módulos SMM.
Lenovo tiene liberado BIOS Versión L05.05.40.011803.172079 Para abordar estas vulnerabilidades en los modelos de IdeaCentre afectados, con la versión mínima fija O6BKT1AA ahora disponible para descargar.
Sin embargo, los plazos de remediación para los sistemas de yoga AIO se extienden hasta finales de 2025, con soluciones programadas para el 30 de septiembre de 2025 (Yoga AIO 32ill10 y 9 32IRH8) y el 30 de noviembre de 2025 (Yoga AIO 27iah10).
Los usuarios deben actualizar inmediatamente sus sistemas a través del portal de soporte de Lenovo y permitir mecanismos de actualización automática cuando estén disponibles.
Integre cualquiera. Pruebe 50 búsquedas de prueba gratuitas
