Proprietários de laptops Lenovo mais antigos precisam desinstalar o Lenovo Solution Center o mais rápido possível.
Os pesquisadores de segurança da Pen Test Partners descobriram uma vulnerabilidade crítica no Lenovo Solution Center que poderia passar privilégios de administrador para hackers ou malware.
De acordo com Pen Test Partners, a falha é uma substituição da lista de controle de acesso discricionário (DACL), o que significa que um usuário com poucos privilégios pode entrar furtivamente em um arquivo confidencial explorando um processo com altos privilégios. Este é um exemplo de ataque de "escalonamento privilegiado" no qual um bug pode ser usado para obter acesso a recursos que normalmente são acessíveis apenas a administradores.
Nesse caso, um invasor poderia escrever um pseudo-arquivo (chamado de arquivo de link físico) que, quando executado pelo Lenovo Solution Center, acessaria arquivos confidenciais que de outra forma não deveria ter acesso. A partir daí, o código prejudicial pode ser executado no sistema com privilégios de administrador ou de sistema, que basicamente termina o jogo, como observa o Pen Test Partners.
Lenovo Solution Center é um programa que foi pré-instalado em laptops Lenovo de 2011 até novembro de 2022-2023, o que significa que milhões de dispositivos podem ser afetados. Ironicamente, o objetivo do programa é monitorar a integridade e a segurança de um PC Lenovo. Embora essa falha não seja uma grande preocupação para usuários individuais que podem proteger rapidamente seus sistemas, empresas maiores que possuem uma frota de laptops ThinkPad mais antigos e usam software legado podem demorar para se adaptar.
Por sua vez, a Lenovo publicou uma declaração de segurança alertando os usuários sobre o bug e instando-os a desinstalar o Solution Center, que a empresa não oferece mais suporte.
"Uma vulnerabilidade relatada no Lenovo Solution Center versão 03.12.003, que não é mais suportada, pode permitir que arquivos de log sejam gravados em locais não padrão, potencialmente levando ao aumento de privilégios. A Lenovo encerrou o suporte para o Lenovo Solution Center e recomendou que os clientes migrem para a Lenovo Vantage ou Lenovo Diagnostics em April2022-2023 ", diz a declaração.
A Lenovo não especificou quando parou de enviar laptops com o Solution Center pré-instalado, então é possível que muitos laptops da Lenovo com menos de um ano de idade carreguem software sem suporte com grandes falhas.
A Lenovo também foi acusada de cobrir seus rastros. De acordo com Pen Test Partners, depois de informar a Lenovo sobre a vulnerabilidade, o fabricante do computador supostamente reverteu a data de fim de vida do Solution Center em vários meses para fazer parecer que o recurso foi descontinuado antes do lançamento da última versão em novembro de 2022-2023 .
"É frequentemente o caso de aplicativos que chegam ao fim do suporte que continuamos a atualizá-los conforme fazemos a transição para novas ofertas, para garantir que os clientes que não fizeram a transição, ou optaram por não, ainda tenham um nível mínimo de suporte, uma prática que não é incomum na indústria ", disse a Lenovo ao The Register quando questionada sobre a discrepância.
Quer a Lenovo seja astuta ou não, o resultado final é o seguinte: se você possui um laptop Lenovo fabricado entre 2011 e 2022-2023, livre-se do Lenovo Solution Center o mais rápido possível. Você pode fazer isso seguindo este guia simples sobre como desinstalar programas no Windows 10.
A Laptop Magazine entrou em contato com a Lenovo para comentar e atualizaremos esta história quando recebermos uma resposta.
- Como uma VPN pode aumentar sua segurança e privacidade | Guia do Tom