Взломать за 10 минут: всплыли данные про уязвимость Lenovo

Стали известны серьезные проблемы с уязвимостью техники Lenovo. Все связано с ПО Lenovo Solution Centre, которое предустановлено на миллионах компьютерах компании. В программном обеспечении Lenovo Solution Centre (LSC) обнаружена уязвимость повышения привилегий, с помощью которой злоумышленник может выполнить код и получить права администратора или уровня SYSTEM на атакуемой системе. Такой взлом может произойти всего за 10 минут. Об этом сообщает Информатор Tech со ссылкой на Pen Test Partners  и Lenovo. Вообще инструмент Lenovo Solution Centre предназначен для диагностики и контроля за состоянием устройств Lenovo. А “местная” утилита ответственная за отслеживание состояния батареи, межсетевого экрана и проверяет доступность обновлений драйверов. ПО предустановлено на большинстве устройств Lenovo, включая десктопы и ноутбуки. Исследователи из Pen Test Partners разобрались в этом вопросе. Основная проблема (CVE-2019-6177) связана с DACL (Discretionary Access Control List, список избирательного управления доступом), то есть высоко привилегированный процесс Lenovo может перезаписать разрешения файла, которым может управлять пользователь с низкими привилегиями. Данная уязвимость предоставляет возможность атакующим с ограниченным доступом к компьютеру записать жесткую ссылку на файл в контролируемую локацию. «Процесс Lenovo перезаписывает привилегии такого файла, что позволяет пользователю с низкими правами управлять файлами, которыми в обычной ситуации он управлять не может. Этим можно воспользоваться для выполнения произвольного кода на системе с правами администратора или системными привилегиями», - пишут исследователи. Такая уязвимость касается версии Lenovo Solution Centre 03.12.2003. Производитель уверяет, что LSC не поддерживается с апреля 2018 года. Но все же стоит учесть, что на сайте Lenovo утилита по-прежнему доступна для загрузки. Сама компания признала наличие проблемы и порекомендовала пользователям деинсталлировать Lenovo Solution Centre и сменить ПО на Lenovo Vantage или Lenovo Diagnostics. Компания не намерена устранять проблему в связи с окончанием срока поддержки утилиты Lenovo Solution Centre. Напомним, что выручка Lenovo продолжает рости уже восемь кварталов подряд. Также советуем обратить внимание на обзор Lenovo ThinkBook 13s и модели ThinkPad. Узнать еще больше актуальных новостей из мира технологий и игр можно в нашем Telegram-канале, а также на наших страничках в Facebook и Instagram.