Собствениците на по -стари лаптопи на Lenovo трябва да деинсталират Lenovo Solution Center възможно най -скоро.
Изследователите по сигурността в Pen Test Partners откриха критична уязвимост в Lenovo Solution Center, която може да предаде администраторски права на хакери или злонамерен софтуер.
Според Pen Test Partners, недостатъкът е презаписване на списък за контрол на достъпа (DACL), което означава, че потребител с ниски привилегии може да се промъкне в чувствителен файл, като използва процес с висока привилегия. Това е пример за атака с „привилегирована ескалация“, при която грешка може да се използва за получаване на достъп до ресурси, които обикновено са достъпни само за администраторите.
В този случай нападателят би могъл да напише псевдофайл (наречен файл с твърда връзка), който, когато се изпълнява от Lenovo Solution Center, ще има достъп до чувствителни файлове, до които иначе не би трябвало да има достъп. От там, повреждащият код може да бъде изпълнен в системата с администраторски или системни привилегии, което по същество е приключило, както отбелязва Pen Test Partners.
Lenovo Solution Center е програма, която е била предварително инсталирана на лаптопите на Lenovo от 2011 г. до ноември 2022-2023 г., което означава, че милиони устройства могат да бъдат засегнати. По ирония на съдбата целта на програмата е да следи здравето и сигурността на компютър на Lenovo. Въпреки че този недостатък не е толкова голяма грижа за отделните потребители, които могат бързо да защитят своите системи, по -големите компании, които притежават парк от по -стари лаптопи ThinkPad и използват стар софтуер, може да се адаптират бавно.
От своя страна Lenovo публикува декларация за сигурност, която предупреждава потребителите за грешката и ги призовава да деинсталират Solution Center, който компанията вече не поддържа.
„Уязвимост, докладвана в Lenovo Solution Center версия 03.12.003, която вече не се поддържа, може да позволи записване на лог файлове на нестандартни места, което потенциално може да доведе до ескалация на привилегиите. Lenovo прекрати поддръжката за Lenovo Solution Center и препоръча на клиентите да мигрират до Lenovo Vantage или Lenovo Diagnostics през април 2022-2023 г. ", се казва в изявлението.
Lenovo не посочи кога е спряла доставката на лаптопи с предварително инсталиран Solution Center, така че е възможно много лаптопи на Lenovo, които са на по-малко от една година, да носят неподдържан софтуер с големи недостатъци.
Lenovo също е обвинен, че прикрива следите си. Според Pen Test Partners, след като са информирали Lenovo за уязвимостта, производителят на компютри твърди, че е отменил датата на изтичане на Solution Center от няколко месеца, за да изглежда, че функцията е прекратена преди пускането на последната версия през ноември 2022-2023 г. .
„Често при приложенията, които достигат края на поддръжката, ние продължаваме да актуализираме приложенията, когато преминаваме към нови предложения, е да гарантираме, че клиентите, които не са преминали или са избрали да не, все още имат минимално ниво на поддръжка, практика, която не е необичайно в индустрията “, каза Lenovo пред The Register, когато беше попитан за несъответствието.
Независимо дали Lenovo е лукав или не, крайният резултат е следният: ако притежавате лаптоп Lenovo, произведен между 2011 и 2022-2023 г., тогава абсолютно се отървете от Lenovo Solution Center възможно най-скоро. Можете да направите това, като следвате това просто ръководство за това как да деинсталирате програми в Windows 10.
Laptop Magazine се обърна към Lenovo за коментар и ние ще актуализираме тази история, когато получим отговор.
- Как VPN може да повиши вашата сигурност и поверителност | Ръководството на Том