Viime aikoina Lenovo-laitteet voidaan helposti kaapata uudelleen, ja Dellin sekä Toshiban PC:t ovat kärsineet vakavista haavoittuvuuksista. Turvallisuustutkijaslipstream/RoL julkaisi haavoittuvuuden verkossa ja osoitti, miten hakkeroida markkinoilla oleviin koneisiin.
Kolme OEM-valmistajaa, kolme esiasennettua sovellusta, kolme haavoittuvuutta
Yhdysvaltojen CERT on antanut varoituksen Lenovon haavoittuvuudesta, ja Kiinan pääkonttori tehostaa myös toimiaan ratkaisukeskuksen poistamiseksi.
Yhdysvaltain Internet Emergency Response Center (CERT) toteaa:
Jos Lenovo Solution Center on aina auki, hakkerit voivat hyödyntää haavoittuvuutta etänä CSRF:n kautta. Haavoittuvuustiedot yhdistys 1. Lenovo Solution Center luo tiedoston nimeltäLSCTaskService-prosessi voi toimia ylläpitäjän oikeuksilla ja poistaa web-palvelimen portissa 55555。 Se voi myös suorittaa koodia paikallisessa käyttäjähakemistossa GET- ja POST HTTP -pyyntöjen kautta. 2. Lenovo Solution Center suorittaa yleensä ohjelmia missä tahansa kiintolevyllä täysillä ohjausoikeuksilla. Laita siihen haittaohjelma, niin Lenovo Solution Center suorittaa sen. 3. Tyypillinen cross-site request forgery (CSRF) -haavoittuvuus löytyy LSCTaskServic-prosessista, joka sallii minkä tahansa vierailevan verkkosivun välittää komentoja paikalliselle palvelimelle ja suorittaa ne. Dale
Samoin Dellin mukana toimitettu työkalu, Dell System Detection, voi suoraan saada ylläpitäjän oikeudet asentaa haittaohjelmia tietokoneesi vahingoittamiseksi. Toshiba
Toshiban huoltoasematyökalu antaa tavallisille käyttäjille tai luvattomille ohjelmistoille suoran järjestelmän käyttäjän valtuudet lukea käyttöjärjestelmän rekisteriä.
Alkuperäinen:http://www.freebuf.com/news/88650.html
| 
Julkaistu 11.12.2015 14.26.50
|
|
|
Julkaistu 11.12.2015 17.09.36
|
