可獲取管理員許可權，聯想公佈兩個特權提升漏洞

編輯：左右裡

聯想Lenovo於12月15日釋出了一則漏洞通告，漏洞存在於Lenovo Vantage使用的Lenovo System Interface Foundation的IMController元件中，是兩個嚴重程度為高的許可權提升漏洞。

漏洞由NCC集團旗下Fox-IT的Rick Veldhoven於2021年10月29日向聯想報告，相應的安全更新釋出於2021年11月17日。

這兩個漏洞編號為CVE-2021-3922 和 CVE-2021-3969，影響所有1.1.20.3 版本以下的Lenovo System Interface Foundation的 ImControllerService 元件。Lenovo System Interface Foundation為多種功能提供介面，如系統電源管理、系統最佳化、驅動程式和應用程式更新以及聯想應用程式的系統設定。該服務預安裝在多數聯想型號上，包括Yoga和ThinkPad裝置。

漏洞原理

CVE-2021-3922：競態條件漏洞，該漏洞可能允許本地攻擊者連線 IMController 子程式的命名管道並與之互動。

ImController需要從聯想伺服器獲取和安裝檔案、執行子程式如執行系統配置和維護任務，它以 SYSTEM 許可權執行。但是ImController無法安全地處理特權子程式之間的通訊，並且無法驗證 XML 序列化命令的源，這意味著惡意程式也可以連線到子程式發出命令。

CVE-2021-3969：檢查時間/使用時間 （TOCTOU） 漏洞，該漏洞可能允許本地攻擊者提升許可權。

利用該漏洞，攻擊者能夠停止經過驗證的ImControllerService外掛的載入過程，並將其替換為惡意DLL，該DLL可以高許可權執行。

解決方案

建議所有使用執行 ImController 1.1.20.2 或更早版本的聯想筆記本或桌上型電腦的使用者升級到最新的可用版本 1.1.20.3。

如何檢視您的聯想 IMController 版本：

開啟檔案資源管理器並導航到C：\Windows\Lenovo\ImController\PluginHost\

右鍵單擊Lenovo.Modern.ImController.PluginHost.exe然後選擇"屬性"。

單擊"詳細資訊"選項卡。

閱讀檔案版本。

不建議從裝置中刪除 ImController或Lenovo System Interface Foundation，因為它可能會影響裝置上的某些功能。

資訊來源：聯想官網

轉載請註明出處和本文連結

推薦文章++++

* 修復3個9.8分漏洞，微軟釋出12月累積更新

* 惋惜！騰訊天美F1工作室遊戲開發大神毛星雲意外身故

* 世界最大勞動力管理平臺Kronos遭攻擊

* 程式設計師的福音，微軟正在訓練AI自動Debug

* 核彈級漏洞——Apache Log4j 2 遠端程式碼執行漏洞事件詳情及修復方式

* 2021年報告的漏洞總數揭露，創歷史新高

* 全球範圍多家知名平臺受波及，亞馬遜雲服務中斷

﹀

﹀

﹀

公眾號ID：ikanxue

官方微博：看雪安全

商務合作：wsc@kanxue.com