7月6日消息,在今年6月份聯(lián)想發(fā)布了一份安全公告,公告中指出該公司在超過110個(gè)型號(hào)的筆記本電腦和臺(tái)式機(jī)中預(yù)裝的Lenovo Accelerator Application存在安全漏洞,主要表現(xiàn)是聯(lián)想PC會(huì)偷偷下載自家升級(jí)軟件（被卸載后又會(huì)自動(dòng)安裝）,當(dāng)中甚至還存在安全漏洞。

　　日前,安全專家Dymtro "Cr4sh" Oleksiuk聲稱自己又發(fā)現(xiàn)了一個(gè)聯(lián)想PC中存在的漏洞,可讓攻擊者繞過Windows的基本安全協(xié)議。

　　問題出在系統(tǒng)維護(hù)模式（SMM）的源代碼中,這一般是主板驅(qū)動(dòng)程序的一部分。研究人員表示,黑客可能利用此漏洞禁用主板FLASH的寫保護(hù)功能,進(jìn)而改寫某些驅(qū)動(dòng)程序。

　　還可禁用安全啟動(dòng)選項(xiàng),甚至是Windows 10內(nèi)置的安全設(shè)置如Device Guard和Credential Guard。該攻擊代碼名為ThinkPwn,被植入在電腦初始化代碼里,在啟動(dòng)時(shí)被訪問。從理論上講,該代碼可以被修改,并運(yùn)行在操作系統(tǒng)級(jí)別上,一些惡意軟件開發(fā)者可在運(yùn)行中嵌入的惡意代碼。

　　Oleksiuk提到聯(lián)想的這些驅(qū)動(dòng)程序代碼是從英特爾直接復(fù)制粘貼的,他擔(dān)心 惠普等廠商也有相同的安全漏洞。

　　聯(lián)想表示,他們的工程師沒有開發(fā)此類易受攻擊的SMM代碼,而是由與英特爾合作的第三方公司提供,然后在英特爾的IBV之 上添加UEFI代碼。其中IBV支持獨(dú)立BIOS供應(yīng)商,現(xiàn)成的代碼包集成在BIOS和UEFI上,以確保與其他設(shè)備組件間的兼容性。

　　這個(gè)漏洞早在2014年就被Intel工程師修復(fù),但不知為何又出現(xiàn)在UEFI之中。聯(lián)想官方稱目前正在調(diào)查該問題,并將與合作伙伴共同努力,盡快修復(fù)。