Lenovo har kommet med en oppdatert utgave programvaren Lenovo Solution Center hvor det har blitt fjernet to sårbarheter som sikkerhetsselskapet Trustware oppdaget i midten av mai.
Selv om sårbarhetene ikke åpner for fjernkjøring av kode direkte, anses de som svært alvorlige fordi de til sammen åpner for kjøring av vilkårlig kode med de samme privilegiene som LocalSystem-kontoen i Windows.
Diagnoseverktøy
Lenovo Solution Center er et verktøy som i alle fall leveres med Lenovos Think-produkter. Det tilbyr funksjonalitet for å gi brukeren en status over «helsetilstanden» til programvare, maskinvare, nettverk og sikkerhetsprogramvare.
Problemet er at dette verktøyet tilbyr en TCP-servertjeneste som via programmeringsgrensesnitt kan laste kompilert .NET-kode fra harddisken. I utgangspunktet skal dette bare laste slike kode fra tiltrodde områder. Men dette kan omgås ved hjelp av mappetraversering.
Fordi denne TCP-serveren kjøres under LocalSystems-kontoen, vil vilkårlig og potensielt ondsinnet.NET-kode som lastes inn, også kunne kjøres med samme privilegier. For fjernkjøring av koden kreves det utnyttelse av andre potensielle sårbarheter.
- Leste du denne? Linux-kommando tok fullstendig drepen på pc
Ikke første gang
Også i begynnelsen mai fjernet Lenovo en alvorlig sårbarhet fra Lenovo Solution Center. Den var muligens enda verre, siden den åpnet også for fjernkjøring av vilkårlig kode med privilegiene til System-kontoen i Windows.
Selv om sårbarhetene er fjernet med versjon 3.3.003 og nyere av Lenovo Solution Center, bør brukere av pc-er fra Lenovo vurdere om programvare bør fjernes helt, i alle fall dersom de ikke har nytte av å bruke den.
Lenovo er på ingen måte alene om å utstyre pc-ene de selger med «nyttige» verktøy med tvilsom kvalitet.
