联想承认笔记本存ThinkPwn漏洞 或为代码编写者蓄意为之

奥雷克休克表示，他发现的这一安全漏洞影响到了过去几年联想集团数量众多的ThinkPad笔记本电脑。他表示，早在2011年发布的ThinkPad X220就存在这一漏洞。奥雷克休克已在开源专案平台GitHub发布贴子，提供了代码片段和指令，让其他人能够在系统上察觉漏洞。

该漏洞允许远程攻击者禁用写保护设备的固件，并获得访问系统管理模式。系统管理模式的目的是在安全环境中批准代码的运行。虽然这必须通过物理访问设备，但至少限制了攻击的范围。然而一旦这样做，攻击者可以远程禁用安全启动功能。

绝大多数的UEFI BIOSes目前都存有安全启动功能，用来核实操作系统的完整性。攻击者可以在受牵累的系统中植入Rootkits，从而让他们能够监视用户的笔记本电脑，或者是远程控制它们。用于保护个人或公司认证信息的软件安全功能也将会受到影响。

联想集团已发布代号为“LEN-8324”的初始安全咨询，称将尽快推出解决方案。根据联想集团的声明，该公司曾尝试着与发现漏洞的奥雷克休克本人进行联系，但奥雷克休克并未配合。该声明还称，联想集团已鉴别出系统管理模式（System Management Mode）的代码存有漏洞，但把责任推向了“公司的一家独立BIOS厂商之一”以及英特尔，原因是该公司把开发定制版的BIOS股价业务外包给了软件厂商。

奥雷克休克此前在Twitter消息中指出，联想集团此前仅仅是要求他不要发布这一安全漏洞的信息，而且他在GitHub的贴子中已经指明，联想集团“复制-粘贴”了英特尔为8-系列芯片组开发的参考代码。他还开玩笑称，该代码可能是故意作为一个后门使用。这也就意味着并不是只有联想集团一家公司的产品受到了此安全漏洞的影响。至少一位奥雷克休克的Twitter粉丝就回复称，至少一款惠普的笔记本电脑也受到这款安全漏洞的影响。

联想集团表示，该公司正在鉴别这段代码组的编写程序员，意味着这可能不是失误，而是蓄意为之的问题。

联想集团的产品近来出现了一系列的问题，其中就包括发售带有间谍软件的PC等等。