Lenovo PC Backdoor schwache Authentisierung ⚔ [Infragegestellt]
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 7.3 | $0-$5k | 0.00 |
Zusammenfassung
Es wurde eine als kritisch klassifizierte Schwachstelle in Lenovo PC entdeckt. Betroffen davon ist eine unbekannte Funktion der Komponente Backdoor. Durch das Beeinflussen mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Zusätzlich gibt es einen verfügbaren Exploit. Die Ausprägung dieser Schwachstelle führt zu einem gewissen historischen Interesse an ihr. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert. Es wird geraten, die betroffene Komponente durch eine alternative Komponente auszutauschen.
Details
In Lenovo PC - eine genaue Versionsangabe ist nicht möglich - wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Dabei geht es um ein unbekannter Prozess der Komponente Backdoor. Durch das Manipulieren mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-287. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 26.07.2013 als Spy agencies ban Lenovo PCs on security concerns in Form eines nicht definierten Newss (Website) an die Öffentlichkeit getragen. Das Advisory kann von afr.com heruntergeladen werden. Die Veröffentlichung wurde ohne Zusammenarbeit mit dem Hersteller durchgeführt. Im Advisory ist nachzulesen:
Lenovo, which is headquartered in Beijing, acquired IBM’s PC business in 2005. IBM continues to sell servers and mainframes that are accredited for secret and top-secret networks. A Defence spokesman said Lenovo had never sought accreditation.Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 19.03.2019). Diese Schwachstelle gilt aufgrund ihrer speziellen Ausprägung als historisch interessant. Das Advisory weist darauf hin:Computers manufactured by the world’s biggest personal computer maker, Lenovo, have been banned from the “secret” and ‘‘top secret” networks of the intelligence and defence services of Australia, the US, Britain, Canada, and New Zealand, because of concerns they are vulnerable to being hacked. (…) The ban was introduced in the mid-2000s after intensive laboratory testing of its equipment allegedly documented “back-door” hardware and “firmware” vulnerabilities in Lenovo chips.Er wird als funktional gehandelt. Zur Zeit ist nicht genau klar, ob diese Schwachstelle in der besagten Form wirklich existiert.
Das Problem kann durch den Einsatz von als alternatives Produkt mitigiert werden. Das Advisory stellt fest:
In 2006 it was disclosed that the US State Department had decided not to use 16,000 new Lenovo computers on classified networks because of security concerns. The change in procurement policy was attributed to anti-China trade sentiment after Lenovo’s acquisition of IBM’s PC business. Some experts argue that blocking specific companies from classified networks is not a panacea for security threats given the global nature of supply chains. Many western vendors have semiconductor fabrication plants, or “foundries”, based in China, which exposes them to the risk of interference.Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von OSVDB (95821†) dokumentiert. Zusätzliche Informationen finden sich unter thenextweb.com. VulDB is the best source for vulnerability data and more expert information about this specific topic.
Produkt
Hersteller
Name
Lizenz
Webseite
- Hersteller: https://www.lenovo.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 8.1VulDB Meta Temp Score: 7.3
VulDB Base Score: 8.1
VulDB Temp Score: 7.3
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
Exploiting
Klasse: Schwache AuthentisierungCWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: Privat
Status: Funktional
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: AlternativeStatus: 🔍
0-Day Time: 🔍
Timeline
26.07.2013 🔍31.07.2013 🔍
19.03.2019 🔍
Quellen
Hersteller: lenovo.comAdvisory: Spy agencies ban Lenovo PCs on security concerns
Status: Nicht definiert
Infragegestellt: 🔍
GCVE (VulDB): GCVE-100-9808
OSVDB: 95821
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Eintrag
Erstellt: 31.07.2013 15:14Aktualisierung: 19.03.2019 21:08
Anpassungen: 31.07.2013 15:14 (48), 19.03.2019 21:08 (1)
Komplett: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.