Lenovo, UEFI sistemlerinde Secure Boot'u atlatmaya yol açan kritik BIOS açıkları için güncelleme yayımladı

Lenovo, Secure Boot Mekanizmasını Atlatan Kritik BIOS Açıklarını Gidermek İçin Güncellemeler Yayınladı

Lenovo, belirli hepsi bir arada (All-in-One) masaüstü bilgisayar modellerinde bulunan ve Secure Boot mekanizmasını aşmaya imkân tanıyan altı yüksek önem derecesine sahip BIOS açığını kapatmak amacıyla yeni firmware güncellemeleri yayımladı.

Güvenlik Açıklarının Kaynağı ve Etkisi

Açıklar, Lenovo için Insyde tarafından özelleştirilen InsydeH2O UEFI firmware kodlarında bulunuyor. Saldırganlar için büyük tehlike arz eden bu açıklar, işletim sistemi yüklenmeden önce çalışan ve yüksek kalıcılığa sahip System Management Mode (SMM) katmanında yer alıyor. Bu sayede, kötü niyetli kişiler sisteme derinlemesine erişim sağlayabiliyor.

Etkilenen Modeller

• IdeaCentre AIO 3 24ARR9
• IdeaCentre AIO 3 27ARR9
• Yoga AIO 27IAH10
• Yoga AIO 32ILL10
• Yoga AIO 32IRH8

Tespit Edilen Güvenlik Açıkları ve CVSS Puanları

• CVE-2025-4421: Doğrulanmamış RSI kaydı ile SMRAM belleğe yazım yapılabiliyor. (CVSS: 8.2)
• CVE-2025-4422: SMM bellekte bozulmaya yol açan işleyici açığı. (CVSS: 8.2)
• CVE-2025-4423: SMM içerisinde keyfi bellek yazımı ile kod çalıştırma. (CVSS: 8.2)
• CVE-2025-4424: Yanıltıcı girişlerle firmware ayarlarının değiştirilmesi. (CVSS: 6.0)
• CVE-2025-4425: Stack buffer overflow ile SMM yetki yükselmesi ve kod çalıştırma. (CVSS: 8.2)
• CVE-2025-4426: SMRAM içeriğinin sızdırılması yoluyla hassas veri açığa çıkması. (CVSS: 6.0)

Bildirim ve Koordinasyon Süreci

Binarly güvenlik araştırma firması, bu açıkları 8 Nisan 2025 tarihinde Lenovo’ya bildirdi. Lenovo, 16 Haziran’da durumu doğruladı ve 90 günlük koordineli açıklama sürecinin ardından 29 Temmuz 2025’te kamuoyuna duyurdu.

Güncellemeler ve Tavsiyeler

IdeaCentre AIO 3 modelleri için O6BKT1AA firmware sürümü yayımlandı ve kullanıcılara en kısa sürede güncelleme yapmaları öneriliyor. Yoga AIO modelleri için güncellemeler henüz yayımlanmadı; Lenovo, bu yamaların 30 Eylül – 30 Kasım 2025 tarihleri arasında sunulacağını bildirdi.

Insyde tarafından yapılan açıklamada, bu açıkların sadece Lenovo için geliştirilmiş özelleştirilmiş InsydeH2O firmware sürümlerinde bulunduğu, tüm InsydeH2O kullanan sistemlerin etkilenmediği vurgulandı.

Kaynak: CUMHA - CUMHUR HABER AJANSI