Специалисты компании Pen Test Partners обнаружили опасный баг в решении Lenovo Solution Center (LSC), которое предустанавливалось на многие Windows-машины компании.
Уязвимость получила идентификатор CVE-2019-6177, она позволяет атакующему повысить свои привилегии в системе. Все дело в перезаписи DACL, благодаря чему привилегированный процесс Lenovo может свободно перезаписывать привилегии файлов, которые контролирует пользователь с низкими привилегиями. Фактически это может быть использовано для выполнения произвольного кода в системе с привилегиями администратора или SYSTEM. Хуже того, исследователи отмечают, что баг скрывался в коде утилиты много лет, с самого ее релиза в 2011 году.
Теперь специалисты Pen Test Partners призывают всех срочно удалить Lenovo Solution Center. Дело в том, что эксперты уведомили разработчиков Lenovo о проблеме еще в мае 2019 года, но на сайте компании значилось, что срок поддержки LSC истек в ноябре 2018 года, а пользователям было рекомендовано перейти на Lenovo Vantage или Lenovo Diagnostics.
После получения информации об уязвимости, представители Lenovo и вовсе задним числом изменили дату прекращения поддержки на апрель 2018 года, хотя последняя версия LSC была выпущена в октябре 2018 года, как видно на иллюстрации ниже. Специалисты Pen Test Partners предполагают, что таким образом Lenovo заметает следы, однако не совсем уверены, зачем в компании это делают.
Словом, Lenovo определенно не собирается исправлять проблему в LSC. Вместо этого компания опубликовала бюллетень безопасности, в котором тоже посоветовала пользователям переходить на Lenovo Vantage или Lenovo Diagnostics, а также отметила, что поддержка LSC была прекращена еще в апреле прошлого года (что, как мы знаем, не совсем правда).