联想与其它OEM厂家被发现更多捆绑软件带来的漏洞

最近一年,Slipstream等安全研究机构接连曝出了PC制造商们的多起“重大错误”。大家在联想、戴尔和东芝等厂家出售的PC上检查出了许多的‘捆绑软件’、甚至安全漏洞,然而这对于它们来说并非新鲜事,比如联想和戴尔依然在近几个月我行我素。情况的严重程度无须赘述,比如联想方面的漏洞就可被利用来远程触发和执行系统级的许可。

联想与其它OEM厂家被发现更多捆绑软件带来的漏洞的照片

CERT和Slipstream对这些bug进行了一番汇总:

联想:

1)Lenovo Solution Center创建了一个名叫LSCTaskService的进程,其以完整的管理员权限运行,并且启用了55555端口上的一个web服务器。通过GET和POST HTTP请求,即可在本地用户可访问的目录中执行代码;

2)Lenovo Solution Center以完整权限运行时,磁盘上任意位置会允许写入,位于这些位置的某些不良软件会被以管理员权限执行;

3)LSCTaskService进程存在一个经典跨站请求伪造(CSRF)漏洞,使得任意访问网页通过将命令传递到本地web服务器,并以完整权限运行。

戴尔:

其捆绑的Dell System Detect工具软件,可获取管理员权限和执行任意命令。其可通过dell.com下载一个安全口令,但也易被滥用、以管理员权限执行各种程序(包括恶意软件)。

东芝:

捆绑的Service Station工具可被正常用户和未经授权的软件利用,以系统级权限读取操作系统中的大部分注册表。

当前,US CERT和联想给出的建议都是卸载Lenovo System Center,至于其它厂商,我们目前为止还未听到任何官方建议。

解决方案:

CERT/CC暂不知针对该问题的确切方案,不过大家可以参考如下方法:

卸载或关闭Lenovo Solution Center,以防止这些漏洞被利用;同时关闭任何运行中的Lenovo Solution Center实例。

[编译自:SlashGear , 来源:The Register]

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: