Доказательства брешей в защите были выложены онлайн, застигнув разработчиков врасплох.
Три уязвимости были найдены в ПО, установленном на некоторых компьютерах и планшетах Dell, Toshiba и Lenovo.
Доказательства, выложенные онлайн (на которые мы не даем ссылку), позволяют атакующей стороне причинить вред системе не зависимо от того, под каким пользователем выполнен вход.
Пользователя могут обманом заставить открыть специально созданную веб-страничку, последством ее загрузки или путем вложение ее в имейл, что позволит хакеру воспользоваться брешью в защите.
Исследователь безопасности, известный как slipstream/RoL, подтвердил, что он не проинформировал Dell, Toshiba и Lenovo об этом недостатке.
Сообщение, опубликованное базе данных уязвимостей Университета Карнеги Меллон в четверг, говорило о том, что установленное ПО Леново имеет три слабых места.
Центр решений Леново, приложение, разработанное чтоб давать пользователю быстрый осмотр статуса безопасности системы, было установлено на ряде продуктов компании, включая планшеты ThinkPad, ThinkCenter и ThinkStation, IdeaCenter и некоторые IdeaPads, на которых стоит Windows 7.
Спикер Леново не сказал, какие именно модели или как много из них могут подвергнуться риску, но сослался на сообщение безопасности, опубликованное на сайте в четверг: «Мы в срочном порядке готовим отчет по уязвимостям и проведем апдейт и исправим ошибки как можно скорее. Дополнительная информация и обновления будут выложены на эту страничку, как только станут доступными.»
Леново не сообщили, когда устранят эти уязвимости, однако отметили, что деинсталляция приложения снизит риски.
Что касается Тошиба, то уязвимость была найдена в Toshiba Service Station, которая кроме других функций еще и ищет обновления ПО.
Согласно slipstream/RoL, приложение позволяет залогиненому пользователю читать части протокольных записей как системному пользователю, что дает некоторые преимущества в сравнении со стандартным аккаунтом пользователя. Он также говорит, что обойти особые регистрационные разрешения хакеру представится возможным.
Для Делл это уже второй большой случай с проблемами безопасности за последние недели – и оба были обнаружены одним исследователем.
slipstream/RoL говорит, что установленное приложение Dell System Detect может быть злонамеренно использовано для обхода защиты Windows.
Это произошло всего через неделю после того, как Dell был обвинен в предварительной установке сертификата безопасности, который может позволить злоумышленнику перехватывать трафик. Как объяснили тогда, злоумышленник может создать свои собственные сертификат безопасности, подписанный Dell, которому будут доверять любые системы, использующие этот сертификат.
Спикеры из Dell и Toshiba не сразу ответили на запрос по электронной почте с требованием комментария.
Пока не ясно, сколько ПК или планшетов подвержены этому недостатку, но количество исчисляется в миллионах.
Lenovo поставили 13,5 млн ПК во третьем квартале этого года, согласно отчету о прибыли за третий квартал, опубликованному в середине августа. Но не ясно, сколько ПК Lenovo и планшетов имеют уязвимое программное обеспечение.
На основе данных IDC, Dell продала более 10,1 млн ПК в третьем квартале. Пока не ясно, сколько компьютеров Toshiba было доставлено во всем мире, но было поставлено около 810,000 компьютеров в США в третьем квартале.
Источник: http://www.zdnet.com/article/millions-of-lenovo-pcs-vulnerable-to-multiple-security-flaws/?tag=nl.e589&s_cid=e589&ttag=e589&ftag=TREc64629f