• IT-Karriere:
  • Services:

Lenovo Solution Centre: Sicherheitslücke in vorinstalliertem Lenovo-Tool

Über eine Sicherheitslücke im Lenovo Solution Centre lassen sich die Rechte eines Nutzers oder einer Schadsoftware ausweiten. Lenovo wird die Lücke nicht schließen und rät zur Deinstallation - dabei hat der Hersteller mehrfach das Supportende geändert.

Artikel veröffentlicht am ,
Der PC-Hersteller rät zur Deinstallation des Lenovo Solution Centre.
Der PC-Hersteller rät zur Deinstallation des Lenovo Solution Centre. (Bild: Acid Pix/CC-BY 2.0)

Seit 2011 liefert Lenovo viele Rechner mit der vorinstallierten Software Lenovo Solution Centre (LSC) aus. Sie enthält eine Sicherheitslücke, mit der Angreifer ihre Rechte ausweiten können. Die Sicherheitsfirma Pen Test Partners entdeckte die Sicherheitslücke und meldete sie an Lenovo. Statt die Lücke zu schließen, reagierte der PC-Hersteller mit einem vorgezogenen Supportende, das er mehrfach änderte. Insbesondere auf älteren Rechnern von Lenovo, deren Betriebssystem nicht neu installiert wurde, könnte die Software noch aktiv sein. Erst 2015 machte Lenovo Schlagzeilen mit der vorinstallierten Adware Superfish und musste Millionen US-Dollar Strafe bezahlen.

Stellenmarkt
  1. Interhyp Gruppe, München
  2. Universitätsklinikum Tübingen, Tübingen

Die Sicherheitslücke selbst lässt sich recht trivial ausnutzen. Das Lenovo Solution Centre läuft laut Pen Test Partners mit den höchsten Rechten und überschreibt exakt 10 Minuten nach dem Anmelden einen Benutzers die Discretionary Access Control List (DACL) des Ordners, in dem sie ihre Logdateien ablegt: C:\ProgramData\Lenovo\LSC\log\. Ein Nutzer kann in diesem Ordner eine Datei mit beliebigem Namen erstellen und eine Verknüpfung auf eine beliebige andere Datei legen. Als Beispiel nennen die Pen Test Partners die Hosts-Datei des Systems, welche nur mit Adminrechten schreibbar ist. Das Lenovo Solution Centre überschreibt dessen Rechte und der Nutzer - oder eine Schadsoftware - kann die Datei bearbeiten.

Auch Schadcode lässt sich auf diese Weise mit Administratorrechten ausführen: Hierzu muss eine DLL-Datei verlinkt werden, die von einem Prozess geladen wird, der mit höheren Rechten läuft. Wurden die Rechte von der Lenovo-Software neu gesetzt, lässt sich die Datei mit Shellcode überschreiben.

End-of-Life statt Fix

Laut den Pen Test Partners habe Lenovo das Supportende der Software mehrmals geändert. Erst sei es auf November 2018 datiert gewesen, nach der Veröffentlichung der Sicherheitslücke habe Lenovo das Supportende kurzerhand auf April 2018 zurückdatiert. Die aktuelle Version des Lenovo Solution Centre war allerdings im Oktober 2018 - also rund ein halbes Jahr nach dem rückdatierten Supportende - erschienen. Dem Onlinemagazin The Register erklärte Lenovo, das auch nach einem offiziellen Supportende noch Software-Updates erscheinen könnten.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
Weitere IT-Trainings

Rund eine Woche nach der Veröffentlichung der Sicherheitslücke hat Lenovo nun das Supportende mit dem Hinweis "Tippfehler im End-of-Life-Datum korrigiert" erneut geändert. Das Lenovo Solution Centre hat demnach ein Jahr später, im April 2019, sein Supportende erreicht. Lenovo rät Nutzern, die Software zu deinstallieren und gegebenenfalls durch Lenovo Vantage oder Lenovo Diagnostics zu ersetzen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote

BrechMichel 27. Aug 2019

Wenn ich ein neues Notebook kauf wird das erstmal platt gemacht und ne saubere Windows...


Folgen Sie uns
       


Zoom Escaper ausprobiert

Der Zoom Escaper ist eine Möglichkeit, sich aus Videokonferenzen zu schummeln. Wir haben ihn ausprobiert.

Zoom Escaper ausprobiert Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /