Lenovo, güncelleme aracını yine onardı!
Önde gelen PC devinin PC'lerine yüklediği araçta yine güvenlik açığı çıktı!
Lenovo son altı ay içinde PC'leriyle ön-yüklü olarak sunduğu bir aracı üçüncü kez güvenlik nedeniyle güncellemek zorunda kaldı.
Firma, geçtiğimiz hafta sürücüleri ve BIOS'u güncel tutmaya yarayan Lenovo System Update için 5.07.0019 güncellemesini yayınladı. Bu yeni sürüm, güvenlik firması IOActive tarafından keşfedilen iki yerel izin açığını kapatıyor. Açıklardan bir tanesi, aracın yardım sisteminde yer alıyor ve kısıtlı izinlere sahip Windows kullanıcılarının yardım sayfalarındaki URL'lere tıklayarak yönetici izinlerine sahip bir Internet Explorer başlatmalarına olanak tanıyor.
Bunun nedeni, Lenovo System Update'in kendisini geçici bir yönetici hesabı altında çalıştırması.
İkinci açık da geçici yönetici hesabıyla ilgili. Burada yazılım, rastgele bir yönetici hesabı adı oluşturmayı amaçlıyor ancak oluşturduğu ad, tahmin edilebiliyor. Bu durumda saldırgan, aynı tarih ve saatte aynı kullanıcı adını oluşturabiliyor. Sonuç olarak saldırgan, bazı durumlarda hem kullanıcı adını, hem de parolayı tahmin ederek yönetici haklarına sahip olabiliyor.
Lenovo System Update bu sene Temmuz ve Ekim aylarında da güncelleme almıştı. Bu güncellemeler, saldırganların uygulama üzerinden komut çalıştırabilmesine yönelik açıkları kapatıyordu.