Компания Lenovo закрыла две серьезные уязвимости, которые могут быть использованы хакерами для проведения целевых и массовых атак. Бреши открывали потенциальным злоумышленникам возможность угадывать пароли администратора и повышать привилегии до уровня администратора.

Детали уязвимостей были опубликованы экспертами IOActive; отчет был направлен в Lenovo еще в октябре.

Обе уязвимости содержались в версии 5.07.0013 утилиты Lenovo System Update, которая отвечает за поиск и доставку обновлений, предоставляемых производителем.

В бюллетене IOActive отмечено, что хакер может добиться повышения привилегий, используя изъяны алгоритма генерации пароля, благодаря которым можно отгадать логин и пароль для временного входа с правами администратора.

Исследователь Софиан Талмат (Sofiane Talmat) рассказал Threatpost, что атака увенчается успехом лишь в том случае, если попытка создать надежный пароль при помощи более сложного алгоритма окажется провальной. В этом случае утилита System Update откатывается до более простого, легко воспроизводимого алгоритма. Хакеру нужно будет только знать точное время создания пароля и повторить все шаги алгоритма.

«Единственное, что нужно злоумышленнику для атаки, — это точное время создания аккаунта. Его можно взять напрямую из папки «Пользователи», в которой создается папка «Администратор» с точным указанием времени создания, — утверждает Талмат. — Затем можно применить брутфорс и сгенерировать набор паролей за пару секунд».

«Так как аккаунт не удаляется до тех пор, пока утилита Lenovo System Updates не будет закрыта пользователем, атакующий сможет запустить приложение и не спеша сгенерировать правильный пароль», — добавил исследователь.

По словам Талмата, хакер может вызвать сбой программы при использовании первого, более надежного алгоритма и «принудить» ее выбрать более предсказуемый алгоритм генерации паролей, чтобы затем скомпрометировать компьютер.

«Например, злоумышленник запускает алгоритм генерации паролей одновременно с исполнением программы System Update и выявляет время создания папки «Администратор» в директории c:\Users\tvsu_tmp_xxxxxXXXXX (где Х и х — случайно генерируемые строчные и прописные буквы, формирующие имя пользователя с правами администратора), — поясняет собеседник Threatpost. — Если приложение не сможет сгенерировать сильный пароль и откатится до более слабого и предсказуемого алгоритма, хакер получит возможность использовать набор сгенерированных паролей, а также показатели текущего времени для получения нужного имени пользователя и пароля».

Вторая уязвимость в Lenovo System Update позволяет обновить систему с минимальными привилегиями. Механизм обновления создает временный аккаунт с правами администратора и вызывает графический интерфейс Tvsukernel.exe. При закрытии приложения System Update временный аккаунт удаляется, но утилита графического интерфейса сохраняет ссылки на службу онлайн-поддержки и помощи. Переход по этим ссылкам инициирует браузерную сессию под временным аккаунтом. Этим и может воспользоваться хакер для повышения привилегий.

«Атака, вызывающая повышение привилегий, достаточно проста, для ее проведения достаточно просто иметь физический доступ к уязвимому компьютеру. При наличии физического доступа к машине или удаленного доступа, полученного вследствие заражения вредоносным ПО или другого способа компрометации, злоумышленнику достаточно просто запустить Lenovo System Update и перейти по имеющимся ссылкам на онлайн-службы поддержки, что позволяет запустить веб-браузер под правами администратора, — поясняет Талмат. — При открытии веб-страницы хакер получает доступ к уязвимой машине на системном или административном уровне».

По словам исследователя, обладающий правами администратора атакующий сможет воспользоваться открывшейся веб-страницей, чтобы загрузить и сохранить вредоносный код на машине.

«Особый риск заключается в том, что хакер, повысив привилегии, сможет обойти пользовательские ограничения, которые устанавливаются в корпоративных системах и системах поддержки критических инфраструктур. Очевидно, что, имея права администратора, преступник может скомпрометировать, отключить или модифицировать критически важные компоненты, например антивирусы и файерволы, а также установить вредоносное ПО, руткиты и так далее. Возможности практически неисчерпаемы», — подытожил Талмат.

Категории: Уязвимости