Crapware: Schwachstelle in Lenovo Solution Center

[English]Wer ein Notebook oder ein anderes Windows-System von Lenovo besitzt, sollte überprüfen, ob dort das Lenovo Solution Center installiert ist. Falls dies zutrifft, heißt es diese Crapware aus Sicherheitsgründen schnellstens zu deinstallieren.

Das Lenovo Solution Center ist eine wandelnde Sicherheitslücke auf Windows-Systeme. Am Artikelende habe ich einige Blog-Beitrag zu dieser Crapware zusammen getragen.

Lenovo Solution Centre

Das Lenovo Solution Centre (LSC) wird auf vielen Windows-Systemen von Lenovo vorinstalliert ausgeliefert.

(Quelle: Lenovo)

Das Lenovo Solution Center ist laut Hersteller eine von Lenovo entwickelte Softwareanwendung für Think Produkte, mit der Benutzer 'ihren Computer optimal nutzen können'. Mit dieser neuen Software können Benutzer bequem den Status von System, Netzwerkverbindungen und Systemsicherheit anzeigen – so der Hersteller.

Laut Lenovo wurde das Solution Center (LSC) seit 2011 mit deren Windows-Systemen ausgeliefert. Inzwischen gibt Lenovo aber an, dass die Software seit dem 30. November 2018 ihr End of Life erreicht habe und nicht mehr mit neuen Geräten ausgeliefert werde.

Neue Schwachstelle – Lenovo wiegelt ab

Sicherheitsforscher der britischen Firma Pen Test Partners haben im Lenovo Solution Center eine ernste Schwachstelle gefunden. Die mit CVE-2019-6177 dokumentierte Schwachstelle ermöglicht es Angreifern mit normalen Nutzerrechten Administratorrechte zu erlangen. Die Sicherheitsforscher habe in diesem Beitrag über die Privilege Escalation Lücke berichtet.

Die Schwachstelle besteht darin, dass ein hochprivilegierter Lenovo-Prozess die ACL (Discretionary Access Control List) überschreibt und damit wahllos die Berechtigungen einer Datei ändert. Das bedeutet, dass ein niedrigprivilegierter Benutzer das kontrollieren kann. Denn der hochprivilegierte Prozess gibt allen Benutzern auf dem System die volle Kontrolle über diese Datei.

Bei einem Angriff könnte ein niedrigprivilegierter Benutzer eine "Hardlink"-Datei an den steuerbaren Ort schreiben – eine Pseudodatei, die wirklich auf jede andere Datei auf dem System verweist, über die der niedrigprivilegierte Benutzer keine Kontrolle hat. Wenn der Lenovo-Prozess ausgeführt wird, überschreibt er die Berechtigungen der hardlinked-Datei mit entsprechenden Berechtigungen. Dadurch erhält der niedrigprivilegierte Benutzer die volle Kontrolle über eine Datei, die er normalerweise nicht verwenden darf. Dies kann verwendet werden, um beliebigen Code auf dem System mit Administrator- oder SYSTEM-Rechten auszuführen.

Lenovo hat eine Sicherheitsmeldung zu CVE-2019-6177 veröffentlicht und bezeichnet die Schwachstelle als kritisch. Laut Lenovo besteht die Schwachstelle im Solution Center 03.12.003. Diese Version ist aber aus dem Support gefallen. Lenovo gibt an, dass man Nutzern des Lenovo Solution Center bereits im April 2018 die Migration auf Lenovo Vantage oder Lenovo Diagnostics empfohlen habe.

Da der Support ausgelaufen ist, empfiehlt der Hersteller Benutzern das Lenovo Solution Center unverzüglich per Programme und Funktionen der Windows-Systemsteuerung zu deinstallieren. Die Redaktion von heise arbeitet sich in diesem Artikel am Thema ab und greift die fragwürdige Reaktion von Lenovo auf. Nach einer Meldung der Sicherheitsforscher gab Lenovo an, dass die Software im April 2018 aus dem Support gefallen sei. Aber die letzte Version von LSC wurde Ende November 2018 freigegeben. Auch die britische Seite The Register hat den Fall hier aufgegriffen und bezeichnet das Ganze als 'unter den Teppich kehren'.

Ähnliche Artikel:
Murmeltiertag: Sicherheitslücke in Lenovo Solution Center
Wieder Sicherheitslücke in Lenovo Solution Center
Lücke im Lenovo Solution Center geschlossen
Die Krux mit Windows 10 OEM-Systemen (Beispiel Lenovo)
Lenovo: 3,5 Millionen $ Strafe für Superfish-Adware
Hardware-Whitelisting bei Lenovo-Geräten?
Windows 10: Lenovo Accelerator Application deinstallieren
Sicherheitslücken bei Dell, Lenovo, Toshiba durch PUPs…