В минувший понедельник Lenovo пропатчила в клиентах SHAREit ряд уязвимостей, составляющих угрозу для приватных данных. Новые риски в большой степени связаны с наличием пароля, прописанного в коде этого бесплатного приложения для обмена файлами.

Бреши в SHAREit для Android и Windows обнаружили исследователи из Core Security. Данное приложение позволяет производить обмен файлами по Wi-Fi между ПК и мобильными устройствами.

«Lenovo SHAREit для Windows и Android подвержены множественным уязвимостям, которые могут повлечь нарушение целостности памяти, утечку информации и обход средств защиты», — отмечено в бюллетене Core Security. По данным Core, уязвимыми являются пакеты SHAREit 3.0.18_ww для Android и SHAREit 2.5.1.1 для Windows.

Наиболее настоятельной проблемой является вшитый пароль в Windows-версии приложения. Как пояснили исследователи, при настройке SHAREit на прием файлов с мобильных устройств создается точка доступа Wi-Fi, причем каждый раз с одним и тем же паролем — 12345678. Патч от Lenovo устраняет этот пароль, задаваемый по умолчанию, наличие которого к тому же позволяет атакующим удаленно просматривать файловую систему устройства.

«При установке Wi-Fi-соединения с использованием дефолтного пароля (12345678) можно просматривать файлы без загрузки, отправив HTTP-запрос на веб-сервер, запущенный Lenovo SHAREit», — комментирует Core эту уязвимость.

Еще одна проблема в SHAREit связана с передачей файлов по HTTP открытым текстом. Этим грешит как Windows-версия, так и версия для Android. «Злоумышленник, способный отслеживать сетевой трафик, может просматривать передаваемые данные или провести атаку «человек посередине», к примеру модифицировать содержимое передаваемых файлов», — предупреждают исследователи.

Четвертая и последняя из закрываемых уязвимостей касается лишь Android-версии приложения. Точка доступа Wi-Fi, создаваемая им для приема файлов, работает вовсе без пароля. «Злоумышленник может подключиться к этой точке доступа и перехватывать информацию, которой обмениваются устройства», — пишет Core в бюллетене.

В минувшем году Lenovo не раз доводилось решать проблемы, связанные с безопасностью ее продукции. Так, в феврале на новых ноутбуках этой компании была обнаружена adware-программа производства Superfish, которая к тому же облегчала проведение MitM-атак. В августе Lenovo вновь раскритиковали за использование предустановленного ПО — на сей раз BIOS-утилиты, обладающей цепкостью руткита. Наконец, в ноябре вендору пришлось в срочном порядке латать свой апдейтер, в котором объявились две серьезные бреши повышения привилегий.

Категории: Главное, Уязвимости