De nuevo Lenovo y su software preinstalado
viernes, 24 de junio de 2016
Hace menos de un mes Lenovo instó a los usuarios de sus ordenadores a desinstalar una aplicación preinstalada. En esta ocasión ha publicado una nueva versión de su herramienta de soporte «Lenovo Solution Center«, preinstalada y activa en millones de portátiles, equipos de escritorio y tabletas Lenovo. Dos vulnerabilidades en este software podrían permitir a un atacante local terminar procesos o ejecutar código arbitrario en los sistemas afectados.
El software «Lenovo Solution Center» (LSC) permite a los usuarios realizar funciones de diagnóstico e identificar rápidamente el estado del hardware y software del PC, las conexiones de red y la presencia de elementos de seguridad como firewalls o antivirus.
Hace menos de dos meses ésta misma aplicación ya se vio afectada por una vulnerabilidad de elevación de privilegios. Por no olvidar el conocido «caso Superfish« o la vulnerabilidad más reciente en «Lenovo Accelerator Application» que podía facilitar la realización de ataques de hombre en el medio.
En esta ocasión son dos las vulnerabilidades encontradas en el software de diagnóstico de Lenovo. Con CVE-2016-5248, una vulnerabilidad que podría permitir a usuarios sin privilegios terminar cualquier proceso; mientras que con CVE-2016-5249 una neuva vulnerabilidad de ejecución de código arbitrario con privilegios de la cuenta LocalSystem.
Lenovo ha publicado la versión 3.3.003 de Lenovo Solution Center para corregir esta vulnerabilidad. Basta con abrir la aplicación y se presentará la opción de actualización automática. También puede descargarse directamente desde:
https://support.lenovo.com/lenovodiagnosticsolutions/downloads
Una vez más, se confirma el peligro del software preinstalado, mucho más cuando a veces hasta el propio usuario desconoce lo que el fabricante ha incluido en el equipo.
Más información:
LEN-7814 Lenovo Solution Center Arbitrary Process Termination or Code Execution by Unprivileged Local Users
https://support.lenovo.com/es/es/product_security/len_7814
Trustwave SpiderLabs Security Advisory TWSL2016-012:
Multiple Vulnerabilities in Lenovo Solution Center
https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2016-012/?fid=8073
una-al-dia (20/02/2015) Portátiles Lenovo con malware de regalo
http://unaaldia.hispasec.com/2015/02/portatiles-lenovo-con-malware-de-regalo.html
una-al-dia (08/05/2016) El software preinstalado vuelve a causar problemas en equipos Lenovo
http://unaaldia.hispasec.com/2016/05/el-software-preinstalado-vuelve-causar.html
una-al-dia (03/06/2016) Otra vez Lenovo y las aplicaciones preinstaladas
http://unaaldia.hispasec.com/2016/06/otra-vez-lenovo-y-las-aplicaciones.html
Antonio Ropero
Twitter: @aropero
