• IT-Karriere:
  • Services:

Lenovo Solution Centre: Sicherheitslücke in vorinstalliertem Lenovo-Tool

Über eine Sicherheitslücke im Lenovo Solution Centre lassen sich die Rechte eines Nutzers oder einer Schadsoftware ausweiten. Lenovo wird die Lücke nicht schließen und rät zur Deinstallation - dabei hat der Hersteller mehrfach das Supportende geändert.

Artikel veröffentlicht am ,
Der PC-Hersteller rät zur Deinstallation des Lenovo Solution Centre.
Der PC-Hersteller rät zur Deinstallation des Lenovo Solution Centre. (Bild: Acid Pix/CC-BY 2.0)

Seit 2011 liefert Lenovo viele Rechner mit der vorinstallierten Software Lenovo Solution Centre (LSC) aus. Sie enthält eine Sicherheitslücke, mit der Angreifer ihre Rechte ausweiten können. Die Sicherheitsfirma Pen Test Partners entdeckte die Sicherheitslücke und meldete sie an Lenovo. Statt die Lücke zu schließen, reagierte der PC-Hersteller mit einem vorgezogenen Supportende, das er mehrfach änderte. Insbesondere auf älteren Rechnern von Lenovo, deren Betriebssystem nicht neu installiert wurde, könnte die Software noch aktiv sein. Erst 2015 machte Lenovo Schlagzeilen mit der vorinstallierten Adware Superfish und musste Millionen US-Dollar Strafe bezahlen.

Stellenmarkt
  1. Vitakraft pet care GmbH & Co. KG, Bremen
  2. ServiceXpert Gesellschaft für Service-Informationssysteme mbH, Hamburg

Die Sicherheitslücke selbst lässt sich recht trivial ausnutzen. Das Lenovo Solution Centre läuft laut Pen Test Partners mit den höchsten Rechten und überschreibt exakt 10 Minuten nach dem Anmelden einen Benutzers die Discretionary Access Control List (DACL) des Ordners, in dem sie ihre Logdateien ablegt: C:\ProgramData\Lenovo\LSC\log\. Ein Nutzer kann in diesem Ordner eine Datei mit beliebigem Namen erstellen und eine Verknüpfung auf eine beliebige andere Datei legen. Als Beispiel nennen die Pen Test Partners die Hosts-Datei des Systems, welche nur mit Adminrechten schreibbar ist. Das Lenovo Solution Centre überschreibt dessen Rechte und der Nutzer - oder eine Schadsoftware - kann die Datei bearbeiten.

Auch Schadcode lässt sich auf diese Weise mit Administratorrechten ausführen: Hierzu muss eine DLL-Datei verlinkt werden, die von einem Prozess geladen wird, der mit höheren Rechten läuft. Wurden die Rechte von der Lenovo-Software neu gesetzt, lässt sich die Datei mit Shellcode überschreiben.

End-of-Life statt Fix

Laut den Pen Test Partners habe Lenovo das Supportende der Software mehrmals geändert. Erst sei es auf November 2018 datiert gewesen, nach der Veröffentlichung der Sicherheitslücke habe Lenovo das Supportende kurzerhand auf April 2018 zurückdatiert. Die aktuelle Version des Lenovo Solution Centre war allerdings im Oktober 2018 - also rund ein halbes Jahr nach dem rückdatierten Supportende - erschienen. Dem Onlinemagazin The Register erklärte Lenovo, das auch nach einem offiziellen Supportende noch Software-Updates erscheinen könnten.

Rund eine Woche nach der Veröffentlichung der Sicherheitslücke hat Lenovo nun das Supportende mit dem Hinweis "Tippfehler im End-of-Life-Datum korrigiert" erneut geändert. Das Lenovo Solution Centre hat demnach ein Jahr später, im April 2019, sein Supportende erreicht. Lenovo rät Nutzern, die Software zu deinstallieren und gegebenenfalls durch Lenovo Vantage oder Lenovo Diagnostics zu ersetzen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de

BrechMichel 27. Aug 2019

Wenn ich ein neues Notebook kauf wird das erstmal platt gemacht und ne saubere Windows...


Folgen Sie uns
       


Elektrophobie: Zukunftsverweigerung oder was ich als E-Autofahrer erlebte
Elektrophobie
Zukunftsverweigerung oder was ich als E-Autofahrer erlebte

Beschimpfungen als "Öko-Idiot" oder der Mittelfinger auf der Autobahn: Als Elektroauto-Fahrer macht man einiges mit - aber nicht mit dem Auto selbst.
Ein Erfahrungsbericht von Matthias Horx

  1. Model Y Tesla befestigt Kühlaggregat mit Baumarktleisten
  2. Wohnungseigentumsgesetz Anspruch auf private Ladestelle kommt im November
  3. Autogipfel Regierung fordert einheitliches Bezahlsystem bei Ladesäulen

Stellenanzeige: Golem.de sucht CvD (m/w/d)
Stellenanzeige
Golem.de sucht CvD (m/w/d)

Du bist News-Junkie, Techie, Organisationstalent und brennst für den Onlinejournalismus? Dann unterstütze die Redaktion von Golem.de als CvD.

  1. Stellenanzeige Golem.de sucht Verstärkung für die Redaktion
  2. Shifoo Golem.de startet Betatest seiner Karriere-Coaching-Plattform
  3. In eigener Sache Die 24-kernige Golem Workstation ist da

MX 10.0 im Test: Cherrys kompakte, flache, tolle RGB-Tastatur
MX 10.0 im Test
Cherrys kompakte, flache, tolle RGB-Tastatur

Die Cherry MX 10.0 kommt mit besonders flachen MX-Schaltern, ist hervorragend verarbeitet und umfangreich programmierbar. Warum Nutzer in Deutschland noch auf sie warten müssen, ist nach unserem Test unverständlich.
Ein Test von Tobias Költzsch

  1. Argand Partners Cherry wird verkauft

    •  /