联想修复系统更新工具中的安全漏洞

softpedia / 国际 / 

联想宣布将为预装在笔记本电脑中的ThinkVantage工具提供安全更新。这个最新更新方案解决两个由IOActive发现的权限升级漏洞。

根据联想的描述,ThinkVantage系统更新是一个软件工具包,有了它,用户就会在为Think或联想系统获取最新驱动、BIOS和其它app方面解决时间提高效率。

IOActive研究人员在ThinkVantage 5.07.0013中发现了两个漏洞,允许攻击者入侵受影响设备中的管理员级别的管理进程。这两种问题都是由一个原因引起的:一个临时的管理员账户在安装ThinkVantage软件包时建立,但之后并未删除。

第一个问题CVE-2015-8109允许攻击者获取访问这个临时账户的权限。而且可通过一个预测算法预测出该账户的用户名和密码。

第二个问题CVE-2015-8110利用起来更为容易。只要用户点击了联想帮助系统中的连接,ThinkVantage就会通过临时的管理员账户 开启一个IE实例,给予其管理员级别的权限。这样攻击者就可以采用多种方式利用管理员级别权限的网络浏览器实例从而将自己的权限升级为管理员或系统几倍。

IOActive在本月初将这些问题反馈给联想。联想于是发布ThinkVantage系统更新5.07.0019版本修复这两个问题。