Eiere av eldre bærbare Lenovo -datamaskiner må avinstallere Lenovo Solution Center så snart som mulig.
Sikkerhetsforskere ved Pen Test Partners fant et kritisk sårbarhet i Lenovo Solution Center som kan overlate administratorrettigheter til hackere eller skadelig programvare.
Ifølge Pen Test Partners er feilen en diskresjonær tilgangskontrolliste (DACL) som overskriver, noe som betyr at en lavprivilegert bruker kan snike seg inn i en sensitiv fil ved å utnytte en prosess med høy privilegium. Dette er et eksempel på et "privilegert eskalering" -angrep der en feil kan brukes for å få tilgang til ressurser som normalt bare er tilgjengelige for administratorer.
I dette tilfellet kan en angriper skrive en pseudofil (kalt en hardlinkfil) som, når den kjøres av Lenovo Solution Center, ville få tilgang til sensitive filer den ellers ikke burde få lov til å nå. Derfra kan skadelig kode utføres på systemet med administrator- eller systemrettigheter, som i utgangspunktet er game over, som Pen Test Partners bemerker.
Lenovo Solution Center er et program som var forhåndsinstallert på bærbare Lenovo-datamaskiner fra 2011 til november2021-2022, noe som betyr at millioner av enheter kan påvirkes. Ironisk nok er programmets formål å overvåke helse og sikkerhet til en Lenovo -PC. Selv om denne feilen ikke er så stor bekymring for enkeltbrukere som raskt kan beskytte systemene sine, kan større selskaper som eier en flåte av eldre ThinkPad -bærbare datamaskiner og bruker eldre programvare være trege med å tilpasse seg.
På sin side publiserte Lenovo en sikkerhetserklæring som advarte brukerne om feilen og oppfordret dem til å avinstallere Solution Center, som selskapet ikke lenger støtter.
"En sårbarhet rapportert i Lenovo Solution Center versjon 03.12.003, som ikke lenger støttes, kan tillate at loggfiler skrives til ikke-standardiserte steder, noe som potensielt kan føre til eskalering av privilegier. Lenovo avsluttet støtte for Lenovo Solution Center og anbefalte at kunder migrerer til Lenovo Vantage eller Lenovo Diagnostics i april2021-2022, "heter det i uttalelsen.
Lenovo spesifiserte ikke når den sluttet å sende bærbare datamaskiner med Solution Center forhåndsinstallert, så det er mulig at mange bærbare Lenovo-bærere som er mindre enn ett år gamle har programvare som ikke støttes med store mangler.
Lenovo har også blitt anklaget for å ha dekket sine spor. I følge Pen Test Partners, etter at de informerte Lenovo om sårbarheten, skal datamaskinprodusenten angivelig ha tilbakeført Solution Centers utløpsdato med flere måneder for å få det til å virke som om funksjonen ble avviklet før den siste versjonen ble utgitt i november2022-2023 .
"Det er ofte tilfelle for applikasjoner som når slutten av supporten at vi fortsetter å oppdatere applikasjonene når vi går over til nye tilbud, er å sikre at kunder som ikke har overført, eller velger å ikke, fortsatt har et minimalt støttenivå, en praksis som er ikke uvanlig i bransjen, "sa Lenovo til The Register da han ble spurt om avviket.
Uansett om Lenovo er lur eller ikke, er konklusjonen dette: Hvis du eier en Lenovo bærbar datamaskin produsert mellom 2011 og2021-2022, må du absolutt kvitte deg med Lenovo Solution Center så snart som mulig. Du kan gjøre det ved å følge denne enkle veiledningen om hvordan du avinstallerer programmer på Windows 10.
Laptop Magazine har kontaktet Lenovo for kommentar, og vi vil oppdatere denne historien når vi mottar et svar.
- Hvordan en VPN kan øke din sikkerhet og personvern | Tom's Guide