12345678: Lenovos Shareit-App verwendet unsicheres Standardkennwort

Lenovos Chef kündigte zwar im Interview vor einigen Wochen an, künftig sichere Software einsetzen zu wollen - im Fall eines Programms zur Dateiübertragung funktioniert das jedoch noch nicht besonders gut.

Artikel veröffentlicht am ,
Lenovos Shareit-App hat es mit der Sicherheit nicht so genau genommen.
Lenovos Shareit-App hat es mit der Sicherheit nicht so genau genommen. (Bild: Screenshot:Golem.de)

Die Forscher der Sicherheitsfirma Coresecurity haben Schwachstellen in Lenovos Programm zur Dateiübertragung zwischen PC und Smartphone gefunden. Die Software mit dem Namen Shareit sei in den Versionen 3.0.18_ww für Android und 2.5.11 für Windows verwundbar, heißt es in einem Blogbeitrag. Lenovo hat die Schwachstellen unterdessen gefixt.

Stellenmarkt
  1. Referent (m/w/d) Datenmanagement
    TransnetBW GmbH, Stuttgart
  2. Data Analyst KI (m/w/d)
    Technische Hochschule Ingolstadt, Ingolstadt
Detailsuche

Die Software existiert auch für iOS und Windows-Phone-Geräte. Ob diese Versionen ebenfalls angreifbar sind, wurde bislang nicht getestet. Die App erstellt unter Windows einen WLAN-Hotspot, mit dem sich dann auch die anderen zum Dateiaustausch verwendeten Geräte verbinden müssen. Dieser WLAN-Hotspot setzt in den angreifbaren Versionen auf das unsichere Standardpasswort 12345678. Dieses Passwort kann vom Nutzer nicht geändert werden. Die Schwachstelle hat die CVE-Nummer 2016-1491.

Man-In-The-Middle-Angriff

Ein Angreifer kann sich nach Angaben der Sicherheitsforscher außerdem mit dem Netzwerk verbinden und die freigegebenen Dateien per http-Request auslesen, soll diese aber nicht auf sein Gerät herunterladen können. Grund hierfür ist eine nicht genauer beschriebene Schwachstelle in dem von Lenovo zum Dateiaustausch gestarteten Webserver (CVE-2016-1490). Die Dateien werden zudem unverschlüsselt übertragen - ein böswilliger Angreifer im Netzwerk könnte daher als Man-In-The-Middle den Traffic mitschneiden, aber auch verändern - und so auch Schadcode in das System injizieren (CVE-2016-1489).

Wird ein Shareit-Hotspot auf Android-Geräten gestartet, verzichtet das Programm in der verwundbaren Version ganz auf lästige Sicherungsmaßnahmen und erstellt einen offenen Hotspot ohne Passwort. Lenovos Chef hatte vor einigen Wochen in einem Interview Microsoft für das kostenfreie Windows-10-Upgrade kritisiert. Als Reaktion auf den Superfish-Skandal kündigte er außerdem an, künftig verstärkt sichere Software einzusetzen, um das Vertrauen der Kunden zurückzugewinnen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Microsoft
Das Surface Pro 8 bekommt zum ersten Mal ein neues Design

Das Surface Pro 8 ist da und sieht komplett anders aus. Das reicht von kleineren Displayrändern zu einem dünneren Chassis.

Microsoft: Das Surface Pro 8 bekommt zum ersten Mal ein neues Design
Artikel
  1. Surface Laptop Studio: Microsoft bringt Surface Laptop und Surface Studio zusammen
    Surface Laptop Studio
    Microsoft bringt Surface Laptop und Surface Studio zusammen

    Statt eines neuen Surface Book bringt Microsoft ein völlig neues Gerät heraus. Der Surface Laptop Studio hat ein ungewöhnliches Scharnier.

  2. Malware: Mehrere Kliniken nach Hackerangriff vom Netz genommen
    Malware
    Mehrere Kliniken nach Hackerangriff vom Netz genommen

    Neben den Kliniken seien auch Bildungseinrichtungen von dem Malware-Angriff betroffen. Sicherheitshalber wird nun mit Papier und Stift gearbeitet.

  3. CMOS-Batterie: Firmware-Update hat PS4 offenbar vor ewigem Aus gerettet
    CMOS-Batterie
    Firmware-Update hat PS4 offenbar vor ewigem Aus gerettet

    Sony hat mit Firmware 9.0 für die Playstation 4 ein großes Problem gelöst: eine leere CMOS-Batterie kann die Konsole nicht mehr zerstören.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Black Week bei NBB: Bis 50% Rabatt (u. a. MSI 31,5" Curved WQHD 165Hz 350€) • PS5 Digital + 2. Dualsense + FIFA 22 mit o2-Vertrag bestellbar • Samsung T7 Portable SSD 1TB 105,39€ • Thermaltake Level 20 RS ARGB Tower 99,90€ • Gran Turismo 7 25th Anniv. vorbestellbar 99,99€ [Werbung]
    •  /