De software die Lenovo standaard installeert op systemen bevatte twee kwetsbaarheden waardoor een aanvaller met toegang tot een computer systeemrechten had kunnen krijgen. Aanvallers zouden zo het systeem verder kunnen compromitteren of andere systemen in het netwerk aanvallen.

Het gaat om Lenovo Vantage en de Lenovo System Interface Foundation die hier onderdeel van is. De software wordt onder andere op Lenovo ThinkPad, ThinkCentre, IdeaPad, IdeaCentre en ThinkStation-systemen geleverd. Via Lenovo Vantage, dat met systeemrechten draait, kunnen gebruikers updates installeren en hun systeem onderhouden en beheren.

Onderzoekers van securitybedrijf Pen Test Partners ontdekten dat het mogelijk is om de software onbetrouwbare dll- of uitvoerbare bestanden te laten uitvoeren. Deze programma's krijgen zodoende ook systeemrechten. In een scenario waarbij een aanvaller een gebruiker met beperkte rechten weet te infecteren kan hij via het lek systeemrechten krijgen, waardoor veel meer mogelijk is. Zo kan er aanvullende aanvalssoftware worden geïnstalleerd of bepaalde software juist worden uitgeschakeld.

Lenovo werd op 16 januari van dit jaar over de kwetsbaarheden ingelicht en kwam afgelopen maandag met een beveiligingsupdate. Daarop heeft Pen Test Partners nu de details van de beveiligingslekken openbaar gemaakt. Gebruikers krijgen het advies om de update te installeren.