У програмному забезпеченні Lenovo Solution Centre (LSC), встановленому на мільйонах комп’ютерів Lenovo, виявлено можливість підвищення привілеїв, за допомогою якої зловмисник може виконати код і отримати права адміністратора або системні привілеї.
Інструмент Lenovo Solution Centre призначений для діагностики і контролю за станом пристроїв Lenovo. Утиліта стежить за станом батареї, брандмауера і перевіряє доступність оновлень драйверів. ПЗ встановлено на більшості пристроїв Lenovo, в тому числі на десктопи і ноутбуки.
Як пояснили дослідники з Pen Test Partners, проблема (CVE-2019-6177) пов’язана з DACL (Discretionary Access Control List, список виборчого управління доступом), тобто процес може перезаписати дозволи файлу, яким може керувати користувач із низькими привілеями. Ця уразливість надає можливість атакуючим з обмеженим доступом до комп’ютера записати жорстке посилання на файл в контрольовану локацію.
“Процес Lenovo перезаписує привілеї такого файлу, що дозволяє користувачеві з низькими правами керувати файлами, якими у звичайній ситуації він керувати не може. Цим можна скористатися для виконання довільного коду в системі з правами адміністратора або системними привілеями”, – пишуть дослідники.
Уразливість зачіпає версію Lenovo Solution Centre 03.12.003. За словами виробника, LSC не підтримує її з квітня 2018 року. Проте, на сайті Lenovo утиліта як і раніше доступна для завантаження. Компанія визнала наявність проблеми і порекомендувала користувачам деінсталювати Lenovo Solution Centre і перейти на використання ПЗ Lenovo Vantage або Lenovo Diagnostics.
До речі, в офіційному магазині Google Play виявили шкідливий додаток зі шпигунським функціоналом. Програма-шпигун була замаскована під додаток Radio Balouch, який використовувався для прослуховування радіо в онлайн-режимі.
Нагадаємо, що програми Microsoft Paint та WordPad перестануть бути обов’язковими після оновлення Windows 10 Spring 2020 року.
Також Google збільшила кількість часу, який необхідний новій програмі Android, щоб пройти процедуру затвердження Play Store.
Стало відомо, що Google впроваджує нову ініціативу Privacy Sandbox, у рамках якої розробляється новий набір відкритих стандартів. За їх допомогою Google прагне створити баланс між конфіденційністю користувачів і бажанням рекламних компаній відстежувати їх.
Окрім цього, Linux Foundation, Microsoft, Google, Alibaba, Arm, Baidu, IBM, Intel, Red Hat, Swisscom і Tencent підписали угоду про створення консорціуму щодо захисту конфіденційності даних.
У операторів ботнету Neutrino з’явилася нова тактика. За їх словами, вони вже більше року атакують web-оболонки інших кіберзлочинців і заражають їх сервери.
Зверніть увагу, в Microsoft виявили незвичайну фішингову кампанію, в якій використовуються кастомні сторінки з помилками 404. Таким чином зловмисники намагаються обманом змусити потенційних жертв видати свої облікові дані.
Cisco попередила про доступність експлойтів для трьох уразливостей в пристроях Cisco Small Business 220 Series Smart Switches, виправлених на початку серпня. Компанія також виправила більше 30 критичних і небезпечних уразливостей, виявлених в її програмному забезпеченні.
Агентство з кібербезпеки Великобританії закликало розробників подумати про перехід з версій Python 2.x на більш нову гілку 3.x у зв’язку з майбутнім припиненням підтримки Python 2, запланованим на 1 січня 2020 року.
