漏洞信息详情

联想System Update 权限许可和访问控制漏洞

• CNNVD编号：CNNVD-201704-1366
• 危害等级： 高危
  
• CVE编号： CVE-2015-8109
• 漏洞类型： 信任管理
• 发布时间： 2017-04-24
• 威胁类型： 本地
• 更新时间： 2017-05-02
• 厂        商： lenovo
• 漏洞来源：

漏洞简介

联想System Update（前称ThinkVantage System Update）是中国联想（Lenovo）公司的一套系统自动更新工具，它包括设备驱动更新、Windows系统补丁更新等。

联想System Update 5.07.0019之前的版本存在提权漏洞。本地攻击可利用该漏洞获取权限。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

https://support.lenovo.com/us/en/product_security/lsu_privilege

参考网址

来源:MISC

链接:https://ioactive.com/pdfs/IOActive_Advisory_Lenovo_SystemUpdate-Insecure-Random-Admin-Password.pdf

来源:CONFIRM

链接:https://support.lenovo.com/us/en/product_security/lsu_privilege

受影响实体

• Lenovo Lenovo_system_update:5.07.0013  

补丁

• 联想System Update 权限许可和访问控制漏洞的修复措施