Først var det crapwaren Superfish - og nu lukker Lenovo nye alvorlige systemhuller

Verdens største pc-producent er igen ramt af sårbarheder, denne gang i System Update Service, der ellers skal sikre brugernes maskiner.

Lenovo, der i de seneste måneder har været i vælten på grund af malwaren/crapwaren Superfish, må nu igen bide i det sure æble og anerkende alvorlige sårbarheder i selskabets produkter.

Tre alvorlige sårbarheder i Lenovos opdaterings-system til pc'erne bliver derfor nu lukket.

Det er sikkerhedsfirmaet IOActive, der dokumenterer sårbarhederne, der ligger gemt i pc-gigantens System Update Service, der bruges til at udsende nye softwareopdateringer til brugerne.

Sikkerhedssitet Threatpost forklarer, at Lenovo ganske vist begrænser adgangen til System Update Service ved at kræve autentificering via en sikkerheds-token, men at problemet er, at engangsadgangskoden er forudsigelig, så kriminelle vil kunne gætte sig til den og på den måde eksekvere ondsindet kode via SUService.exe.

En anden sårbarhed handler ifølge Threatpost om, at kriminelle kan snyde signatur-valideringen, der ellers skulle sikre, at kun ægte Lenovo-applikationer bliver downloadet.

På den måde kan der oprettes en falsk webside med ondsindet kode, som Lenovo-maskinerne antager er den ægte vare.

Det fører også til den tredje sårbarhed i System Update Service fra Lenovo, der åbner for, at kriminelle kan køre kommandoer som en administrator, fordi systemet er for lang tid om at verificere koden, der skal afvikles.

"En lokal angriber kunne udnytte dette til at udføre ‘local privilege escalation' ved at vente på, at System Update verificerer signaturen og så skifte koden ud med en ondsindet version, før System Update er i stand til at køre den eksekverbare kode. Når så System Update endelig er klar til at afvikle koden, vil det køre den ondsindede version og tro, at de var den, som den allerede havde verificeret," forklarer IOActive

Opdateringer er klar
Lenovo har nu udsendt opdateringer, der lukker alle tre huller, og brugerne burde automatisk få besked om, at opdateringen er klar via Lenovo System Update.

Læs mere om opdateringerne hos Lenovo

Lenovo kom tidligere år i vælten, fordi noget af den bloatware, selskabet præinstallererer på dets maskiner, var at betegne som regulær malware.

Superfish, som bloatwaren hedder, indeholdt nemlig en bagdør, der potentielt kunne udnyttes til man-in-the-middle-angreb.

Læs også:

Lenovo på vej med ren Windows-udgave: Det skal være slut med crapwaren superfish





Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Also A/S
Salg af serviceydelser inden for logistik, finansiering, fragt og levering, helhedsløsninger, digitale tjenester og individuelle it-løsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Op og ned på Java: Migrér og spar penge med Red Hat Java

Hvis du anvender Java til dine forretningskritiske applikationer, skal du træffe en beslutning om, hvordan du bruger det, og hvilken leverandør, der kan støtte dig bedst. For brugere af Oracle JDK nærmer fristen sig nemlig hurtigt for at beslutte, hvilken Java udbyder der skal bruges på lang sigt, når man kører Java-applikationer i produktion.

24. november 2020 | Læs mere


GDPR, status og overblik: Påbud og afgørelser strømmer nu ud fra Datatilsynet

Få styr på hvordan du kan sikre løbende overholdelse af GDPR-reglerne i fremtiden. Ved hjælp af de rigtige processuelle værktøjer og systemer kan du leve op til forventningen om, at din virksomhed har styr på reglerne og overholdelses af dem.

25. november 2020 | Læs mere


Hvordan bevarer du kontrollen, når målet er ultimativ frihed? Data Governance i en hybrid infrastruktur

Vores infrastruktur er i høj grad blevet ”sluppet løs”. Vi lever alle sammen med hybrid IT, hvor vores workloads er (eller skal ende) som frie og mobile entiteter, og hvor data kan bo overalt. Men hvordan bevarer du kontrollen, når målet er ultimativ frihed? I dette webinar retter vi fokus mod én af de måder, hvormed vi bedst bevarer balancen mellem frihed og kontrol over vores værdifulde data.

26. november 2020 | Læs mere





mest debatterede artikler

Premium
Banker indfører nye skrappe regler for e-handel to måneder før forventet: “Det er et uheldigt tidspunkt”
Efter at være blevet udsat er de nye betalingsregler for webshops nu trådt i kraft. Men timingen kunne ikke være værre, lyder det fra Dansk Erhverv.
Computerworld
Stein Bagger gør comeback i ny branche: "De lignede et mafiahold, førte sig frem som nyrige og plaprede løs om urealistiske drømme"
Stein Bagger har skiftet navn og fører sig nu frem i store biler i en helt ny branche, skriver en dansk avis.
CIO
Podcast: Her er seks gode råd om ledelse og digitalisering fra danske top-CIO'er
The Digital Edge: Vi har talt med 17 af Danmarks dygtigste digitale ledere - og samlet deres seks bedste råd om digitalisering og ledelse. Få alle rådene på 26 minutter i denne episode af podcasten The Digital Edge.
Job & Karriere
Se Waoos forklaring: Derfor har selskabet fyret topchef Jørgen Stensgaard med omgående virkning
Waaos bestyrelse opsiger fiberselskabets topchef, Jørgen Stensgaard, der fratræder med omgående virkning. Se hele forklaringen fra Waao her.
White paper
Gratis whitepaper: Hvad er EDI, og hvordan kan det styrke min forretning?
Overvejer du EDI, og ønsker du at undersøge, om EDI er den rette investering for din virksomhed? Har en af dine kunder eller leverandører for nyligt bedt dig om at udveksle elektroniske dokumenter (EDI)? Så hent dette whitepaper og få et overblik over, hvad EDI er, og hvilke fordele producenter og grossister som dig kan se frem til, når du investerer i EDI til din forretning.