WhiteHat News #ID:0911
VIP Members
-
30/07/2014
-
79
-
711 bài viết
Máy tính Lenovo dính lỗi nghiêm trọng liên quan đến chứng chỉ số
Sau vụ việc với Superfish thì Lenovo lại gặp rắc rối về an ninh, hãng vừa phát hành bản vá dành cho lỗ hổng trên các máy tính của mình. Lỗ hổng này có thể bị hacker khai thác để thay thế các chứng chỉ số đáng tin cậy bằng phiên bản có chứa mã độc.
Trong một văn bản khuyến cáo, các nhà nghiên cứu bảo mật tại IOActive đã công bố chi tiết về 3 lỗ hổng bảo mật khác nhau mà hacker có thể vượt qua quá trình kiểm tra độ tin cậy của ứng dụng để phát tán malware trên một chiếc máy tính Lenovo bị lây nhiễm. Theo đó: "Kẻ tấn công có thể tạo ra một chứng chỉ số giả mạo và sử dụng nó để tạo ra một chứng chỉ code-signing (một quy trình đăng ký kỹ thuật số các chỉ thị thực thi và đoạn mã để xác nhận tác giả phần mềm và đảm bảo rằng mã đăng ký sẽ không bị thay đổi hay hư hỏng). Do hệ thống cập nhật (System Update) không thể xác thực chứng chỉ số một cách chính xác, hệ thống cập nhật sẽ chấp nhận các lệnh thực thi được đăng ký bởi chứng chỉ giả mạo và thực thi chúng với quyền người dùng."
Lỗ hổng bảo mật này tác động đến một loạt các dòng máy tính của Lenovo từ ThinkPad, ThinkCenter, ThinkStation cho đến các dòng V, B, K và E-Series.
Ngoài ra, bản vá vừa được Lenovo phát hành còn cập nhật một số lỗ hổng khác, chẳng hạn như một lỗi cho phép người dùng cấp thấp vượt qua các giới hạn quyền người dùng và tiềm năng giúp kẻ tấn công khởi động malware chạy theo quyền hệ thống.
Cập nhật thông báo chính thức từ Lenovo Việt Nam:
Hiện tại, các máy có Lenovo System Update sẽ tự động yêu cầu người dùng cài đặt bản nâng cấp của chương trình này khi chạy. Ngoài ra, việc cập nhật có thể thực hiện thủ công.
Người dùng cần nâng cấp chương trình Lenovo System Update để loại bỏ các nguy cơ bảo mật đã được IOActive phát hiện và cũng nên cập nhật thường xuyên hệ thống bằng cách kích hoạt chế độ nâng cấp tự động khi được yêu cầu.
Trong một văn bản khuyến cáo, các nhà nghiên cứu bảo mật tại IOActive đã công bố chi tiết về 3 lỗ hổng bảo mật khác nhau mà hacker có thể vượt qua quá trình kiểm tra độ tin cậy của ứng dụng để phát tán malware trên một chiếc máy tính Lenovo bị lây nhiễm. Theo đó: "Kẻ tấn công có thể tạo ra một chứng chỉ số giả mạo và sử dụng nó để tạo ra một chứng chỉ code-signing (một quy trình đăng ký kỹ thuật số các chỉ thị thực thi và đoạn mã để xác nhận tác giả phần mềm và đảm bảo rằng mã đăng ký sẽ không bị thay đổi hay hư hỏng). Do hệ thống cập nhật (System Update) không thể xác thực chứng chỉ số một cách chính xác, hệ thống cập nhật sẽ chấp nhận các lệnh thực thi được đăng ký bởi chứng chỉ giả mạo và thực thi chúng với quyền người dùng."
Lỗ hổng bảo mật này tác động đến một loạt các dòng máy tính của Lenovo từ ThinkPad, ThinkCenter, ThinkStation cho đến các dòng V, B, K và E-Series.
Ngoài ra, bản vá vừa được Lenovo phát hành còn cập nhật một số lỗ hổng khác, chẳng hạn như một lỗi cho phép người dùng cấp thấp vượt qua các giới hạn quyền người dùng và tiềm năng giúp kẻ tấn công khởi động malware chạy theo quyền hệ thống.
Cập nhật thông báo chính thức từ Lenovo Việt Nam:
Hiện tại, các máy có Lenovo System Update sẽ tự động yêu cầu người dùng cài đặt bản nâng cấp của chương trình này khi chạy. Ngoài ra, việc cập nhật có thể thực hiện thủ công.
Người dùng cần nâng cấp chương trình Lenovo System Update để loại bỏ các nguy cơ bảo mật đã được IOActive phát hiện và cũng nên cập nhật thường xuyên hệ thống bằng cách kích hoạt chế độ nâng cấp tự động khi được yêu cầu.
Theo Tinhte.vn