Lek in Lenovo-software kan aanvaller systeemrechten geven
De software die Lenovo standaard installeert op systemen bevatte twee kwetsbaarheden waardoor een aanvaller met toegang tot een computer systeemrechten had kunnen krijgen. Aanvallers zouden zo het systeem verder kunnen compromitteren of andere systemen in het netwerk aanvallen.
Het gaat om Lenovo Vantage en de Lenovo System Interface Foundation die hier onderdeel van is. De software wordt onder andere op Lenovo ThinkPad, ThinkCentre, IdeaPad, IdeaCentre en ThinkStation-systemen geleverd. Via Lenovo Vantage, dat met systeemrechten draait, kunnen gebruikers updates installeren en hun systeem onderhouden en beheren.
Onderzoekers van securitybedrijf Pen Test Partners ontdekten dat het mogelijk is om de software onbetrouwbare dll- of uitvoerbare bestanden te laten uitvoeren. Deze programma's krijgen zodoende ook systeemrechten. In een scenario waarbij een aanvaller een gebruiker met beperkte rechten weet te infecteren kan hij via het lek systeemrechten krijgen, waardoor veel meer mogelijk is. Zo kan er aanvullende aanvalssoftware worden geïnstalleerd of bepaalde software juist worden uitgeschakeld.
Lenovo werd op 16 januari van dit jaar over de kwetsbaarheden ingelicht en kwam afgelopen maandag met een beveiligingsupdate. Daarop heeft Pen Test Partners nu de details van de beveiligingslekken openbaar gemaakt. Gebruikers krijgen het advies om de update te installeren.
Het eerste dat je toch doet is een een schone installatie installeren? Zeker zakelijke gebruikers.
Ik ben wel eens benieuwd hoeveel mensen die 'handige' bloatware daadwerkelijk gebruiken. Loont het echt om hier ontwikkeltijd in te steken?
Het eerste dat je toch doet is een een schone installatie installeren? Zeker zakelijke gebruikers.
Ik ben wel eens benieuwd hoeveel mensen die 'handige' bloatware daadwerkelijk gebruiken. Loont het echt om hier ontwikkeltijd in te steken?
Zonder wordt de in MS Windows 10 al geïntegreerde software daarvoor (BtiDefender) actief; niets slechter, maar wel minder extra (zeer invasieve) programmatuur waarvan een grote delen alleen marketingdoeleinden dienen.
Een in en in verrotte cultuur: There's Something Rotten...in the State of MS Windows.
Al die mee geinstalleerde rotzooi (die je ook vaak uit je sokken trackt) direct verwijderen.
All that comes really free, comes with a price you have to pay, with your data and often with your security as well.
Al te goed in dit geval is vendor's gek, om maar eens een variant te geven op een wezenlijk waar spreekwoord.
luntrus
@Joep Lunaar, deze rant op MS is totaal offtopic, het gaat hier om Lenovo. Lenovo levert geen McAfee Norton und so weiter mee op hun zakelijke producten.
@Joep Lunaar, deze rant op MS is totaal offtopic, het gaat hier om Lenovo. Lenovo levert geen McAfee Norton und so weiter mee op hun zakelijke producten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
