اكتشف باحثو الأمن في Pen Test Partners وجود عيب في برنامج Lenovo Solution Center الذي تم تثبيته مسبقا على ملايين أجهزة الكمبيوتر ذات الطراز القديم التي صنعتها شركة تصنيع الكمبيوتر الرائدة في العالم. مشكلة عدم الحصانة هي ثغرة تصاعد الامتيازات التي يمكن استخدامها لتنفيذ تعليمات برمجية عشوائية على نظام مستهدف,مما يسمح بالحصول على عدة امتيازات في الجهاز.
تأتي الأبحاث من Pen Test Partners الذين عثروا على الخلل CVE-2019-6177 ، وقالوا أن الثغرة الأمنية مرتبطة ببرنامج Lenovo Solution Center الذي يعاني من الكثير من المشكلات. وأصدرت Lenovo نشرة أمان بخصوص هذا الخطأ وأوصت المستخدمين بالترقية إلى أداة مساعدة مشابهة تسمى Lenovo Vantage.
يصف الباحثون الخطأ بأنه يمنح المتسللين الذين يتمتعون بامتيازات منخفضة الوصول إلى جهاز كمبيوتر القدرة على كتابة ملف “ارتباط ثابت” إلى موقع يمكن التحكم فيه. سيكون ملف “hardlink” هذا عبارة عن “ملف زائف” ذي امتياز منخفض يمكن استخدامه للإشارة إلى ملف مميز آخر.
وكتب الباحثون “عندما تعمل عملية Lenovo فإنها تحل محل امتيازات الملف ذي الارتباط الثابت بامتيازات متساهلة مما يتيح للمستخدم ذي الامتيازات المنخفضة التحكم الكامل في الملف الذي لا ينبغي السماح به عادة. ويمكن استخدام هذا لتنفيذ تعليمات برمجية عشوائية على النظام بامتيازات المسؤول أو النظام”.
الغرض المقصود من البرنامج هو مراقبة الصحة العامة للكمبيوتر. تراقب البطارية وجدار الحماية والتحقق من تحديثات برنامج التشغيل الذي يأتي مثبتا مسبقا على غالبية أجهزة كمبيوتر لينوفو.
الإصدار الإشكالي هو 03.12.003، والذي قال لينوفو لم يعد مدعوما. وتم إصدار البرنامج في الأصل في عام 2011. وقالت Lenovo إن (LSC (Lenovo Solution Center تم تحديد نهاية عمرها الافتراضي “رسميا” منذ نوفمبر 2018. ومع ذلك لا يزال هناك إصدار متاح للتنزيل عبر موقع Lenovo على الويب.
ولقد كان برنامج Lenovo LSC مصدرا للكثير من المشاكل بحيت في عام 2016 وجد الباحثون تصعيدا مشابها لخلل الامتيازات. وفي عام 2015 أظهرت مجموعة القرصنة Slipstream / RoL هجوما برهانا على المفهوم استغل خطأ LSC مما سمح لصفحة ويب ضارة بتنفيذ تعليمات برمجية ضارة على أجهزة كمبيوتر لينوفو ذات امتيازات النظام.
يعد الخلل الأمني LSC هو الأحدث في قائمة طويلة من عيوب الأمان التي ابتليت بها لينوفو على مدار العام الماضي. في فبراير 2015 تم وضع Lenovo في مقعد الأمان الساخن عندما اكتشف الباحثون برنامجا يسمى Superfish قام بحقن الإعلانات على مواقع الويب ويمكن أن يساء استخدامه من قبل المتسللين لقراءة كلمات المرور المشفرة وبيانات تصفح الويب.
المصدر : threatpost.com
