Lenovo heeft drie ernstige beveiligingsproblemen in zijn meegeleverde update-tool verholpen. Door de inmiddels opgeloste problemen kon een aanvaller met behulp van de update-tool zijn eigen code op een systeem uitvoeren.
De beveiligingsproblemen werden ontdekt door IOActive, dat Lenovo in februari op de hoogte stelde van de beveiligingsproblemen. Inmiddels zijn de drie problemen opgelost en heeft IOActive details over de lekken naar buiten gebracht.
De beveiligingsproblemen bevinden zich allemaal in de tool die Lenovo gebruikt om zijn eigen, meegeleverde software te updaten. De tool controleerde op drie verschillende manieren niet goed genoeg of de software die binnenkwam op de laptop ook wel daadwerkelijk van Lenovo afkomstig was. Een aanvaller zou, bijvoorbeeld via een vervalst wifi-toegangspunt, daarmee zijn eigen code kunnen injecteren. Die werd vervolgens op het niveau van beheerder uitgevoerd.
Volgens IOActive gaat het om een zeer gevaarlijk lek. Gebruikers kunnen nu updaten naar een veiliger versie, maar IOActive raadt gebruikers aan om dat met de hand te doen en niet de update-tool te gebruiken, vanwege de onveiligheid ervan. Lenovo raadt gebruikers eveneens aan om te updaten.
Het is de tweede keer in een paar maanden tijd dat software van Lenovo gebruikers kwetsbaar maakt. Begin dit jaar bleek dat Lenovo de Superfish-advertentiemalware meeleverde, die zijn eigen advertenties op websites injecteerde. Om dat op https-sites te kunnen doen, werd een valse ssl-certificaat meegeleverd. Met dat certificaat werden alle websites versleuteld, waardoor een aanvaller het https-verkeer van gebruikers kon afluisteren.