Ginny Hà
VIP Members
-
04/06/2014
-
88
-
689 bài viết
Lenovo vá lỗ hổng leo thang đặc quyền trong bản cập nhật an ninh
Lenovo vừa phát hành phiên bản mới của phần mềm Cập nhật Hệ thống (System Update) vá các lỗ hổng leo thang đặc quyền được một chuyên gia IOActive phát hiện. System Update được Lenovo xây dựng nhằm giúp người dùng nhanh chóng cập nhật driver, BIOS và ứng dụng cho các hệ thống Lenovo và Think.
Lỗ hổng đầu tiên trong bản cập nhật (CVE-2015-8109) được Sofiane Talmat - chuyên gia nghiên cứu của IOActive phát hiện, cho phép tin tặc leo thang chiếm quyền quản trị hệ thống nạn nhân. Lỗ hổng được Lenovo đánh giá là nghiêm trọng, liên quan tới một tài khoản quản trị tạm thời được tạo khi System Update thực thi.
Theo các chuyên gia, do System Update có thể chạy bởi người dùng không đặc quyền, nên dịch vụ phần mềm SUService.exe (có quyền hệ thống) sẽ tạo một tài khoản quản trị tạm thời và sử dụng tài khoản đó để đưa ra giao diện đồ họa của công cụ cập nhật (Tvsukernel.exe).
Vấn đề xảy ra khi cả username và password cho tài khoản quản trị tạm thời được khởi tạo ngẫu nhiên. Trong một số trường hợp nhất định, tin tặc có thể đoán được thông tin rồi sử dụng để chiếm quyền quản trị trên hệ thống nạn nhân.
Một lỗ hổng an ninh liên quan khác (CVE-2015-8110) do Talmat phát hiện cho phép tin tặc thực thi câu lệnh để chiếm quyền của người dùng hệ thống Windows.
Ứng dụng System Update GUI được thực thi với tài khoản quản trị tạm thời bao gồm các liên kết tới các trang hỗ trợ của website Lenovo. Khi click vào một trong số những địa chỉ liên kết thì trang web sẽ được mở bởi một trình duyệt sử dụng tài khoản quản trị tạm thời, từ đó cho phép tin tặc sử dụng phiên làm việc để leo thang đặc quyền.
Những lỗ hổng này đã được thông báo với Lenovo từ 2/11/2015 và đã được vá vào ngày 19/11 trong bản cập nhật 5.07.0019.
Lenovo đã phát hành một số phiên bản mới của phần mềm System Update trong năm nhằm vá tổng cộng mười lỗ hổng, bao gồm các vấn đề mà chuyên gia Trustware, IOActive và Tencent Xuanwu đã công bố.
Nguồn: SecurityWeek
Lỗ hổng đầu tiên trong bản cập nhật (CVE-2015-8109) được Sofiane Talmat - chuyên gia nghiên cứu của IOActive phát hiện, cho phép tin tặc leo thang chiếm quyền quản trị hệ thống nạn nhân. Lỗ hổng được Lenovo đánh giá là nghiêm trọng, liên quan tới một tài khoản quản trị tạm thời được tạo khi System Update thực thi.
Theo các chuyên gia, do System Update có thể chạy bởi người dùng không đặc quyền, nên dịch vụ phần mềm SUService.exe (có quyền hệ thống) sẽ tạo một tài khoản quản trị tạm thời và sử dụng tài khoản đó để đưa ra giao diện đồ họa của công cụ cập nhật (Tvsukernel.exe).
Vấn đề xảy ra khi cả username và password cho tài khoản quản trị tạm thời được khởi tạo ngẫu nhiên. Trong một số trường hợp nhất định, tin tặc có thể đoán được thông tin rồi sử dụng để chiếm quyền quản trị trên hệ thống nạn nhân.
Một lỗ hổng an ninh liên quan khác (CVE-2015-8110) do Talmat phát hiện cho phép tin tặc thực thi câu lệnh để chiếm quyền của người dùng hệ thống Windows.
Ứng dụng System Update GUI được thực thi với tài khoản quản trị tạm thời bao gồm các liên kết tới các trang hỗ trợ của website Lenovo. Khi click vào một trong số những địa chỉ liên kết thì trang web sẽ được mở bởi một trình duyệt sử dụng tài khoản quản trị tạm thời, từ đó cho phép tin tặc sử dụng phiên làm việc để leo thang đặc quyền.
Những lỗ hổng này đã được thông báo với Lenovo từ 2/11/2015 và đã được vá vào ngày 19/11 trong bản cập nhật 5.07.0019.
Lenovo đã phát hành một số phiên bản mới của phần mềm System Update trong năm nhằm vá tổng cộng mười lỗ hổng, bao gồm các vấn đề mà chuyên gia Trustware, IOActive và Tencent Xuanwu đã công bố.
Nguồn: SecurityWeek