CVE-2015-2233
WysokieStreszczenie
Lenovo System Update (wcześniej ThinkVantage System Update) w wersjach przed 5.06.0034 nieprawidłowo weryfikuje łańcuchy CA podczas walidacji podpisów, co umożliwia atakującym typu man-in-the-middle przesyłanie i wykonywanie dowolnych plików za pomocą spreparowanego certyfikatu.
Ocena ryzyka
Podatność ta stwarza ryzyko dla organizacji, ponieważ atakujący mogą wykorzystać ją do wprowadzenia złośliwego oprogramowania lub nieautoryzowanych zmian w systemie.
Rekomendacja
Zaleca się aktualizację Lenovo System Update do wersji 5.06.0034 lub nowszej, aby zabezpieczyć się przed tym zagrożeniem.
Inne podatności w Lenovo System Update
Zobacz wszystkie- CVE-2015-6971Wysokie
Lenovo System Update (wcześniej ThinkVantage System Update) przed wersją 5.07.0013 pozwala lokalnym użytkownikom na przesyłanie poleceń do usługi System Update (SUService.exe) i uzyskiwanie uprawnień poprzez uruchamianie podpisanych plików wykonywalnych Lenovo.
- CVE-2015-8109Wysokie
Lenovo System Update przed wersją 5.07.0019 pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez przewidzenie danych logowania do konta tvsu_tmp_xxxxxXXXXX, co wymaga znajomości czasu utworzenia tego konta.
- CVE-2015-2219Wysokie
Lenovo System Update przed wersją 5.06.0034 wykorzystuje przewidywalne tokeny bezpieczeństwa, co pozwala lokalnym użytkownikom na uzyskanie uprawnień poprzez wysłanie ważnego tokena z poleceniem do usługi System Update (SUService.exe) przez nieokreśloną nazwę rury.
- CVE-2026-6387Wysokie
W Lenovo System Update zgłoszono potencjalną podatność na obejście uwierzytelniania, która może pozwolić lokalnemu uwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu z podwyższonymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Lenovo System Update (formerly ThinkVantage System Update) before 5.06.0034 does not properly validate CA chains during signature validation, which allows man-in-the-middle attackers to upload and execute arbitrary files via a crafted certificate.