Σοβαρό κενό ασφαλείας στο System Update utility της Lenovo

[nnn]

Nέο σοβαρό πρόβλημα ασφαλείας εντοπίστηκε σε λογισμικό που συνοδεύει τους υπολογιστές της Lenovo και συγκεκριμένα στην εφαρμογή System Update.

Αν και σχετικό patch έχει βγει από τον Απρίλιο, η πλειοψηφία των χρηστών όμως δεν έχει αναβαθμίσει. Η Lenovo αποδεχόμενη το πρόβλημα, καλεί τους κατόχους υπολογιστών Lenovo να αναβαθμίσουν άμεσα.

Lenovo Security Advisory: LEN-2015-011
Potential Impact: Execution of arbitrary code
Severity: Medium

Summary:
Multiple vulnerabilities have been identified within Lenovo System Update (previously known as ThinkVantage System Update). Lenovo has released a new version of the Lenovo System Update software that addresses these vulnerabilities.

Description:
Lenovo System Update validates all system update files as they are downloaded from the Lenovo servers. However, if the local system contains malware, it is possible that the downloaded updates could be altered before installation creating a race condition. The latest Lenovo System Update release eliminates this possibility.
Lenovo System Update uses a service called SUService.exe to run system updates. As part of the authentication and validation process the service only accepts commands if a valid security token is passed along with the command. Vulnerabilities were discovered on how the security tokens were generated allowing an attacker to run commands. The latest Lenovo System Update release fixes the token authentication flaws.

Other security issues were also addressed in this update.

Mitigation Strategy for Customers (what you should do to protect yourself):
Starting from April 1, 2015, run Lenovo System Update and install the latest version of the application, version 5.06.0034 or later. You can determine the currently installed version by opening Lenovo System Update, clicking on the green question mark in the top right corner and then selecting “About.”

Steps to update:
Lenovo System Update automatically checks for a later version whenever the application is run. Click OK when prompted that new version is available.

To manually update, download the latest version from the following URL.

Product Impact:
The following products may be impacted:

All ThinkPad
All ThinkCentre
All ThinkStation
Lenovo V/B/K/E Series
Acknowledgements:
Lenovo would like to thank Michael Milvich and Sofiane Talmat of IOActive for reporting these issues.

Other information and references:
CVE ID: CVE-­2015-­2219, CVE-­2015-­2233, CVE-­2015-­2234
http://www.ioactive.com/labs/advisories.html

Πηγή : BBC

[Artemius]

η καλή η σαβούρα bloatιλα των κατασκευαστών.

βρε ουστ.

"εμπρός λαέ, μη σκύβεις το κεφάλι, ο μόνος δρόμος είναι,φορμάτ ξανά και πάλι"

[USBCE]

Να φανταστώ ότι δεν το είχε αντιληφθεί πάλι;

http://www.adslgr.com/forum/threads/...81%CE%B9%CE%BF

[vgiozo]

Το συγκεκριμένο εργαλείο είναι πολύ βολικό και χρήσιμο πάντως, σίγουρα δεν ανήκει στα bloatware της εταιρείας.

[goku]

Για αυτό άμεσα μετά την αγορά πρέπει να κάνεις φορμάτ και εγκατάσταση των Windows από την αρχή με καθαρό δισκάκι και χωρίς τα περιττά προγράμματα. Εγώ προσωπικά σβήνω ακόμη και το recovery partition το οποίο από μόνο του καταναλώνει αρκετά GB από τον σκληρό δίσκο. Αν θέλω να έχω recovery για παν ενδεχόμενο δημιουργώ ένα μετά την καθαρή εγκατάσταση. Μόνο έτσι είσαι σίγουρος για το τι υπάρχει στον υπολογιστή σου.

[dimitri_ns]

Για αυτό άμεσα μετά την αγορά πρέπει να κάνεις φορμάτ και εγκατάσταση των Windows από την αρχή με καθαρό δισκάκι και χωρίς τα περιττά προγράμματα. Εγώ προσωπικά σβήνω ακόμη και το recovery partition το οποίο από μόνο του καταναλώνει αρκετά GB από τον σκληρό δίσκο. Αν θέλω να έχω recovery για παν ενδεχόμενο δημιουργώ ένα μετά την καθαρή εγκατάσταση. Μόνο έτσι είσαι σίγουρος για το τι υπάρχει στον υπολογιστή σου.

Ti πρόβλημα έχεις με τα win ? Δύο lenovo στην οικογένεια (thinkpad , g560) μια χαρά είναι: το ένα με kubumtu, το άλλο με debian

BTW πολύ βολικό το system/bios update σε thinkpad. Αν μπρικάρει το πας αντιπροσωπεία και τους γκρινιάζεις.

[goku]

Ti πρόβλημα έχεις με τα win ? Δύο lenovo στην οικογένεια (thinkpad , g560) μια χαρά είναι: το ένα με kubumtu, το άλλο με debian

BTW πολύ βολικό το system/bios update σε thinkpad. Αν μπρικάρει το πας αντιπροσωπεία και τους γκρινιάζεις.

Εγώ προσωπικά έχω dual boot με Linux Mint, και έχω επίσης Linux Mint εγκατεστημένα σε Vmware σε περίπτωση που βαριέμαι να κάνω επανεκκίνηση. Αλλά από την στιγμή που έχεις αγοράσει υπολογιστή με νόμιμα Windows (εκτός αν δεν έχεις αγοράσει, οι περισσότεροι όμως αγοράζουν), είναι κρίμα να μην τα κρατήσεις, ουσιαστικά πάει τσάμπα το κλειδάκι. Όσον αφορά το θέμα, ποιος κρατάει το bloatware της κάθε εταιρίας; Καλύτερα φορμάτ και καθαρή εγκατάσταση και έχεις το κεφάλι σου ήσυχο.