LenovoがPCシステムのアップデートツールで重大な脆弱性を修正

6ヶ月以内に3回目のセキュリティ問題により、PCにプリロードされているツールの1つをLenovoにアップデートさせました。 Lenovo System Updateのバージョン5.07.0019は、ユーザーがThinkVantage System Updateと呼ばれていたコンピュータのドライバとBIOSを最新の状態に保つのに役立ちます。新しいバージョンでは、セキュリティ会社IOActiveの研究者が発見した2つのローカル権限昇格の脆弱性が修正されています。

脆弱性の1つは、ツールのヘルプシステムにあり、制限されたWindowsアカウントを持つユーザーは、ヘルプページのURLに

[詳しい情報：Windows PCからマルウェアを削除する方法]

Lenovo System Update自体は、インストール時にアプリケーションが作成する一時的な管理者アカウントで実行されるため、ソフォリアン・タルマットのIOActiveセキュリティ研究者は、「そこから、特権を持たない攻撃者は、管理者権限で実行されているWebブラウザインスタンスを使用して、管理者またはシステムに特権を昇格させる多くの方法を持っている」と、

ユーザー名はパターンtvsu_tmp_xxxxxXXXXXに従います。ここで、各小文字のxはランダムに生成された小文字で、各大文字のXはaです。ランダムに生成された大文字。しかし、文字をランダムに選択するはずの機能は、現在の時間に結び付けられ、その出力を予測可能にします。 "

"攻撃者はアカウントが作成された時間に基づいて同じユーザー名を再生成することができます。

パスワード生成関数は、安全なものとフォールバック的なものの2つの方法を使用しており、それらもまた予測可能です。

Lenovo System Updateは、今年2つのセキュリティパッチ（7月に1つ、10月に1つ）を受け取りました。これらのアップデートでは、攻撃者がアプリケーションを介してコマンドを実行したり、正当なアップデートをマルウェアと置き換えたりする可能性のある脆弱性が修正されています。