Werbung
Rund zwei Monate nach dem Bekanntwerden der Superfish-Sicherheitslücke gerät Lenovo erneut in die Schlagzeilen. Denn den Experten von IOActive zufolge bieten zahlreiche Systeme der Chinesen eine weitere Angriffsfläche in Form des Lenovo System Update.
Über das Tool soll es möglich sein, beliebige Anwendungen auf dem System zu installieren und als Administrator auszuführen, was Schad-Software Tür und Tor öffnet. Möglich wird dies durch eine Lücke in der internen Überprüfung. Umgehen Angreifer diese, können sie beliebige Programme mit falschen Lenovo-Zertifikaten versehen und auf diesem Wege die systemeigenen Sicherheitsvorkehrungen umgehen. Auf die Lücke gestoßen ist IOActive bereits im Februar, Lenovo wurde nach eigenen Angaben umgehend darüber informiert. Dass man nun auch die breite Öffentlichkeit liegt, wird dem Bereitstellen eines Updates durch den Hersteller begründet. Entsprechend sollen Besitzer eines Lenovo-Rechners sicherstellen, dass sie das Lenovo System Update-Tool in einer Version jünger als 5.6.0.27 verwenden; diese und ältere Ausgaben sind gefährdet.
Eine Stellungnahme seitens Lenovo gibt es nicht, auch Details zu möglicherweise bereits erfolgten Angriffen fehlen. Im März hatte das Unternehmen angekündigt, mit dem Start von Windows 10 weitaus weniger Anwendungen neben den Betriebssystem installieren zu wollen, um Angriffsmöglichkeiten zu reduzieren. An eigenen Tools wie dem nun betroffenen Updater will man hingegen festhalten.
Update: Lenvo hat auf seiner Homepage eine Anleitung für das Beseitigen der Schwachstelle veröffentlicht. Demnach soll es ausreichen, das Lenovo System Udpate-Tool zu starten. Die integrierte Aktualisierungsroutine soll direkt im Anschluss auf eine neue, fehlerfreie Version hinweisen und deren Installation vorschlagen. Sollte dies nicht geschehen, ist die manuelle Auffrischung möglich. Hierfür muss die aktuelle Version (5.06.0034, knapp 12 MB) heruntergeladen und anschliessend ausgeführt werden.
Nach eigenen Angaben hat man eng mit IOActive zusammengearbeitet, um die Angriffspotentiale zu entfernen.