Besitzer älterer Lenovo-Laptops müssen das Lenovo Solution Center so schnell wie möglich deinstallieren.
Sicherheitsforscher von Pen Test Partners fanden im Lenovo Solution Center eine kritische Schwachstelle, die Admin-Rechte an Hacker oder Malware übergeben könnte.
Laut Pen Test Partners ist der Fehler ein Überschreiben der Discretionary Access Control List (DACL), was bedeutet, dass sich ein Benutzer mit geringen Privilegien durch Ausnutzung eines hochprivilegierten Prozesses in eine sensible Datei einschleichen kann. Dies ist ein Beispiel für einen "privilegierten Eskalationsangriff", bei dem ein Fehler verwendet werden kann, um Zugriff auf Ressourcen zu erhalten, die normalerweise nur Administratoren zugänglich sind.
In diesem Fall könnte ein Angreifer eine Pseudodatei (sogenannte Hardlink-Datei) schreiben, die, wenn sie vom Lenovo Solution Center ausgeführt wird, auf sensible Dateien zugreift, auf die sie ansonsten nicht zugreifen dürften. Von dort aus könnte schädlicher Code mit Administrator- oder Systemrechten auf dem System ausgeführt werden, was im Grunde genommen das Spiel vorbei ist, wie Pen Test Partners feststellt.
Lenovo Solution Center ist ein Programm, das von 2011 bis November 2022-2023 auf Lenovo-Laptops vorinstalliert war, was bedeutet, dass Millionen von Geräten betroffen sein könnten. Ironischerweise besteht der Zweck des Programms darin, den Zustand und die Sicherheit eines Lenovo PCs zu überwachen. Während dieser Fehler für einzelne Benutzer, die ihre Systeme schnell schützen können, kein so großes Problem darstellt, können größere Unternehmen, die eine Flotte älterer ThinkPad-Laptops besitzen und ältere Software verwenden, möglicherweise nur langsam angepasst werden.
Lenovo seinerseits hat eine Sicherheitserklärung veröffentlicht, die Benutzer vor dem Fehler warnt und sie auffordert, das vom Unternehmen nicht mehr unterstützte Solution Center zu deinstallieren.
"Eine in Lenovo Solution Center Version 03.12.003 gemeldete Sicherheitslücke, die nicht mehr unterstützt wird, kann dazu führen, dass Protokolldateien an nicht standardmäßige Speicherorte geschrieben werden, was möglicherweise zu einer Rechteausweitung führt. Lenovo hat den Support für Lenovo Solution Center eingestellt und den Kunden eine Migration empfohlen zu Lenovo Vantage oder Lenovo Diagnostics im April 2022-2023", heißt es in der Erklärung.
Lenovo hat nicht angegeben, wann die Auslieferung von Laptops mit vorinstalliertem Solution Center eingestellt wurde. Daher ist es möglich, dass viele Lenovo-Laptops, die weniger als ein Jahr alt sind, nicht unterstützte Software mit schwerwiegenden Fehlern enthalten.
Auch Lenovo wurde vorgeworfen, seine Spuren verwischt zu haben. Laut Pen Test Partners hat der Computerhersteller, nachdem sie Lenovo über die Schwachstelle informiert hatten, das End-of-Life-Datum von Solution Center um mehrere Monate verschoben, um den Anschein zu erwecken, dass die Funktion vor der Veröffentlichung der letzten Version im November 2022-2023 eingestellt wurde .
„Bei Anwendungen, die das Ende des Supports erreichen, ist es häufig der Fall, dass wir die Anwendungen beim Übergang zu neuen Angeboten weiterhin aktualisieren, um sicherzustellen, dass Kunden, die nicht umgestiegen sind oder sich dafür entscheiden, immer noch ein minimales Maß an Support erhalten ist in der Branche keine Seltenheit", sagte Lenovo gegenüber The Register, als er nach der Diskrepanz gefragt wurde.
Ob Lenovo schlau ist oder nicht, unter dem Strich gilt: Wenn Sie einen Lenovo-Laptop der zwischen 2011 und 2022-2023 hergestellt haben, sollten Sie das Lenovo Solution Center unbedingt so schnell wie möglich loswerden. Sie können dies tun, indem Sie dieser einfachen Anleitung zum Deinstallieren von Programmen unter Windows 10 folgen.
Das Laptop Magazine hat Lenovo um einen Kommentar gebeten, und wir werden diese Geschichte aktualisieren, wenn wir eine Antwort erhalten.
- Wie ein VPN Ihre Sicherheit und Privatsphäre erhöhen kann | Toms Anleitung