Lenovo vá lỗ hổng nghiêm trọng công cụ cập nhật hệ thống

Lần thứ ba trong vòng chưa đầy sáu tháng, vấn đề an ninh đã buộc Lenovo thực hiện cập nhật một trong những công cụ được cài sẵn trên máy tính của mình.

Máy tính Lenovo liên tục gặp lỗ hổng bảo mật trong thời gian gần đây

Lenovo vừa phát hành phiên bản 5.07.0019 thông qua Lenovo System Update, một công cụ giúp người dùng giữ trình điều khiển máy tính của họ và cập nhật cho BIOS, trước đây được gọi là ThinkVatage System Update. Phiên bản sửa lỗi lỗ hổng được phát hiện bởi các nhà nghiên cứu bảo mật đến từ IOActive.

Một trong những lỗ hổng nằm trong hệ thống trợ giúp của công cụ, cho phép người sử dụng tài khoản Windows hạn chế có thể chạy IE với quyền quản trị bằng cách nhập vào URL trong trang trợ giúp. Đó là bởi vì bản thân Lenovo System Update chạy dưới một tài khoản quản trị tạm thời do các ứng dụng tạo ra khi cài đặt.

Nhà nghiên cứu bảo mật Sofiane Talmat cho biết về lỗ hổng nói trên rằng, một kẻ tấn công không có quyền quản trị có thể tấn công trình duyệt web chạy dưới quyền quản trị để nâng cao đặc quyền riêng ở mức quản trị hoặc hệ thống.

Lỗ hổng thứ hai liên quan đến tài khoản quản trị tạm thời và đặc biệt là cách thức mà tên và mật khẩu của nó được tạo ra. Tên người dùng ở định dạng tvsu_tmp_xxxxxXXXXX, trong đó mỗi chữ x thường là một bức thư chữ thường được tạo ra một cách ngẫu nhiên, và mỗi chữ X hoa là một ký tự hoa được tạo ra một cách ngẫu nhiên. Điều này cho phép kẻ tấn công có thể tái tạo tên người dùng dựa trên thời gian tài khoản được tạo ra.

Chức năng tạo mật khẩu sử dụng hai phương pháp, một an toàn và một dự phòng có thể dự đoán được. Điều này có nghĩa trong những tình huống nhất định kẻ tấn công có thể đoán được cả tên người dùng và mật khẩu để đạt được quyền truy cập chính.

Lenovo System Update nhận được 2 bản vá lỗi bảo mật khác trong năm nay: một vào tháng 7 và một tháng 11. Bản cập nhật lỗ hổng cho phép kẻ tấn công thực hiện các lệnh thông qua ứng dụng hoặc thay thế bằng một phần mềm độc hại./.