Dell, Toshiba e Lenovo PCs em risco de falhas de segurança bloatware

Um trio de vulnerabilidades foi encontrado no software pré-instalado em um número de PCs e tablets de consumo e empresariais Dell, Toshiba e Lenovo, afetando milhões de usuários.

A prova-de-conceito que foi publicado on-line (que não estão ligando para) pode permitir que um atacante execute programas maliciosos no nível do sistema, independentemente de que tipo de usuário está conectado.

A empresa disse que a maioria dos PCs Windows são “automaticamente protegida.”

Um usuário pode ser enganado e abrir uma página web especialmente criado, como um drive-by download ou através de um anexo de e-mail, o que poderia permitir que um invasor explorar a falha.

O pesquisador de segurança, conhecida como slipstream / Rol, confirmou ao site que ele não informou Dell, Toshiba e Lenovo das falhas antes do código de prova de conceito foi publicado on-line.

Um aviso, publicado por banco de dados de vulnerabilidade pública de Carnegie Mellon University (CERT) na quinta-feira, disse que pré-instalado software Lenovo, muitas vezes conhecido como “bloatware; inclui três vulnerabilidades.

A Lenovo Solution Center, um aplicativo projetado para dar ao usuário uma visão geral do estado de saúde, de segurança e de rede do sistema, vem pré-instalado em um número de produtos Pense, incluindo ThinkPads, tablets ThinkPad, ThinkCenter e ThinkStation, IdeaCenter e alguns IdeaPads , executando o Windows 7 e posterior.

Um porta-voz da Lenovo não diria que modelos específicos ou quantos seriam afetados, mas a que se refere o aviso de segurança publicado em seu site, publicado quinta-feira, onde se lê: “Estamos avaliando urgentemente o relatório vulnerabilidade e irá fornecer uma atualização e correções aplicáveis ​​como rapidamente possível. informações e atualizações adicionais serão publicadas nesta página aviso de segurança assim que estiverem disponíveis. ”

Lenovo não disse quando ele irá corrigir as vulnerabilidades no software, mas disse em um comunicado de segurança que desinstalar o aplicativo irá remover o risco representado pela falha.

Quanto a Toshiba, uma vulnerabilidade de segurança foi encontrado no pré-instalado Estação de Serviço Toshiba, que procura por atualizações de software, entre outras características.

De acordo com slipstream / Rol, o aplicativo permite que um usuário logado para ler partes do registro como usuário do sistema, que tem privilégios mais elevados do que uma conta de usuário padrão. Ele disse que um atacante não pode ler o gerente de contas de segurança (SAM) ou BootKeys, no entanto. Ele disse que é possível “ignorar quaisquer permissões específicas do registro definido.”

Para a Dell, este é o segundo grande problema de segurança em tantas semanas – e ambos foram encontrados pelo mesmo pesquisador de segurança.

slipstream / RoL disse que o Sistema Dell pré-instalado Detectar app, que verifica o sistema de um usuário para questões antes de uma chamada de suporte, pode ser grosseiramente usada para contornar um recurso de segurança do Windows que aumenta privilégio de um usuário.

O custo de ataques ransomware: $ 1 bilhão este ano; Chrome para iniciar conexões HTTP rotulagem como não segura; O Projeto Hyperledger está crescendo a todo o vapor; Agora você pode comprar um stick USB que destrói tudo em seu caminho

Ele disse que um invasor pode abusar de um pedido assinado para dar repetidamente uma mensagem de Controle de Conta de Usuário assinado, até que um usuário dá lugar e permite a elevação.

Ele vem apenas uma semana depois Dell foi acusado de pré-instalar um certificado de segurança que poderiam permitir que um invasor para interceptar o tráfego e conduzir ataques man-in-the-middle. CERT explicou na época que atacante pode criar os seus próprios certificados assinados pela Dell, que seriam confiáveis ​​por qualquer sistema que confia esse certificado.

Porta-vozes da Dell e Toshiba não respondeu imediatamente a um comentário e-mail solicitando.

Não está claro quantos PCs ou comprimidos são afetados pela falha, mas é pensado para ser na casa dos milhões.

Por que a CIA querendo backdoors de criptografia é um fracasso de liderança, não a inteligência, a Apple, ao recusar o acesso backdoor aos dados, pode enfrentar multas; NSA é tão sobrecarregados com os dados, ele não é mais eficaz, diz denunciante; Como os vazamentos Snowden começou, há era “medo e pânico” no Congresso; Como caso de dados do Microsoft poderia desvendar indústria de tecnologia os EUA; Se você tem “nada a esconder”, aqui está para onde enviar suas senhas; Conheça os corretores de tecnologia sombrios que fornecem seus dados para a NSA

Inovação;? Mercado M2M salta para trás no Brasil; Segurança; prisões do FBI supostos membros de Crackas com atitude para cortar funcionários gov’t EUA; Segurança; WordPress pede que os usuários para atualizar agora para corrigir falhas de segurança críticas; Segurança; Casa Branca nomeia primeiro Chefe Federal Information Security Officer

LEIA MAIS

Lenovo enviados 13,5 milhões de PCs durante o terceiro trimestre deste ano, de acordo com o seu relatório de lucros do terceiro trimestre, publicado em meados de agosto. Mas não é claro quantos PCs Lenovo e comprimidos são afetados pelo software vulnerável.

Com base em dados da IDC, a Dell vendeu mais de 10,1 milhões de PCs no terceiro trimestre. Não está claro quantos PCs Toshiba foram vendidos no mundo, mas é enviado cerca de 810 mil PCs em os EUA durante o terceiro trimestre.

Bloatware – também conhecido como crapware – continua a ser uma questão importante no PC e celular círculos, principalmente porque ele é conhecido por comprometer a segurança do sistema. Lenovo, que foi pego no escândalo adware “Superfish” no início deste ano, prometeu parar a agregação bloatware pré-instalado em PCs.

“Crapware pré-instalado é ruim, m’kay?” disse o pesquisador.

? Mercado M2M salta para trás no Brasil

prisões do FBI supostos membros de Crackas com atitude para cortar funcionários gov’t dos EUA

WordPress pede que os usuários para atualizar agora para corrigir falhas de segurança críticas

Casa Branca nomeia primeiro Chief Information Security Officer Federal