Bezpečnostní chyba System Update již byla opravena
Aplikace Lenovo (ThinkVantage) System Update obsahovala bezpečnostní chybu, která mohla být velmi snadno zneužita pro spouštění úloh se správcovskými právy. Chyba již byla opravena, ačkoliv některé servery o tom zatím neví…
IOActive v únoru (asi v návaznosti na populární kauzu Superfish) odhalilo bezpečnostní díru v aplikaci Lenovo System Update pro automatickou aktualizaci ovladačů, firmware a software zařízení Lenovo Think, která byla rovněž součástí dnes již zaniknuvšího balíku ThinkVantage Tools. Bezpečnostní trhlina spočívala v tom, že skrze tuto aktualizační službu bylo možné spouštět aplikace a provádět jiné úkony s nejvyšším systémovým oprávněním, a to i tehdy, byl-li přihlášen zcela běžný uživatel bez zvláštních práv.
Lenovo problém napravilo minulý měsíc. Jelikož některé servery stále o problému hovoří, chtěli bychom alespoň prostřednictvím blogu oznámit, že problém již tedy není aktuální. Chyba se týkala pouze aplikace System Update ve verzi 5.6.0.27 a starší, aktuální verzi 5.6.0.34 můžete stahovat zde.
Odpovědět
Zrejme nemaji u Lenova prilis aktivni QA oddeleni a code review. Zvlaste ta chyba s (ne)overovanim certifikatu je fakt ostuda.
Podobne je na tom Access Connections, viz Secunia Advisory SA54482. Dodnes zrejme neopravene.
Napiste i o aktualni zranitelnosti ‚Row Hammer‘. Ta je pomerne kuriozni, jedna se o hardwarovy problem vetsiny DDR3 pametovych modulu, kde lze sofistikovanym ctenim po dobu asi 5 minut dosahnout cileneho (ne jen nahodneho) zapisu do pameti. Lze takto i docilit i zvyseni prav, viz clanek ‚Exploiting the DRAM rowhammer bug to gain kernel privileges‘. Obrana neni jednoducha, utok lze oddalit asi na 40 minut upravou BIOSu.
Lenovo na to pred par dny reagovalo zpravou LEN-2015-009, kde uvadi ze problem se tyka vsech DDR3 modulu vyrobenych mezi 2011 az 2014 a pridava seznam ohrozench zarizeni. Jsou tam prakticky vsechny ThinkPady .30 az .50. Bohuzel nezminuje nase oblibene .20, coz nutne neznamena ze se jich problem netyka, spise se na ne uz vykaslalo :-/