Vulnerabilidades en firmware Insyde UEFI
Descripción general
Se han identificado vulnerabilidades críticas en computadoras Todo-en-Uno Lenovo que utilizan firmware Insyde UEFI personalizado. Estas vulnerabilidades permiten a un atacante lograr elevación de privilegios, corrupción de memoria y ejecución de código arbitrario en el entorno del System Management Mode (SMM), comprometiendo profundamente la seguridad del sistema.
Productos afectados
- Lenovo IdeaCentre AIO 3:
- Modelos: 24-ARR9, 27-ARR9
- Lenovo Yoga AIO:
- Modelos: 27IAH10, 32ILL10, 32IRH8
⚠️ Detalles de las vulnerabilidades
| CVE | Puntuación CVSS v3.1 | Descripción |
|---|---|---|
| CVE-2025-4421 | 8.2 (Alta) | Permite escritura arbitraria en SMRAM vía manejador SMI, usando un registro RSI no validado. Elevación de privilegios en SMM. |
| CVE-2025-4422 | 8.2 (Alta) | Corrupción de memoria en SMM mediante manejo inseguro de protocolos EFI. Posible escalada de privilegios. |
| CVE-2025-4423 | 8.2 (Alta) | Escrituras arbitrarias en memoria a través de SetupAutomationSmm. Puede llevar a ejecución de código. |
| CVE-2025-4425 | 8.2 (Alta) | Desbordamiento de búfer de pila en SetupAutomationSmm. Posible ejecución de código malicioso. |
Recomendación
El CSIRT-UC recomienda encarecidamente a toda la comunidad técnica y usuarios con equipos afectados:
✅ Verificar el modelo del equipo
✅ Acceder al sitio oficial de Lenovo
✅ Aplicar la actualización de firmware correspondiente a la brevedad
🔗 Sitio oficial de soporte:
https://support.lenovo.com/us/en/product_security/LEN-201013
Referencias técnicas
CSIRT-UC – Universidad Católica "Nuestra Señora de la Asunción"