Bypass xác thực và đăng ký vân tay không tin cậy trong Lenovo ThinkPlus

Một lỗ hổng đã được báo cáo trong phần mềm cấu hình ThinkPlus, có thể cho phép người dùng cục bộ đã xác thực bypass xác thực thiết bị ThinkPlus và đăng ký một dấu vân tay không được tin cậy.

• Lenovo ThinkPlus FU100: bản Gen 1 bị ảnh hưởng; trạng thái mặc định của các phiên bản khác là không bị ảnh hưởng.
• Lenovo ThinkPlus FU200: bản Gen 1 bị ảnh hưởng; trạng thái mặc định của các phiên bản khác là không bị ảnh hưởng.
• Lenovo ThinkPlus TU800: bản Gen 1 bị ảnh hưởng; trạng thái mặc định của các phiên bản khác là không bị ảnh hưởng.
• Lenovo ThinkPlus TSD303: bản Gen 1 bị ảnh hưởng; trạng thái mặc định của các phiên bản khác là không bị ảnh hưởng.

Bản ghi không cung cấp ranh giới phiên bản cố định cụ thể cho phần mềm hoặc firmware. Không nên suy luận rằng mọi phiên bản phát hành sau Gen 1 đều an toàn nếu chưa được Lenovo xác nhận.

Lỗ hổng nằm trong phần mềm cấu hình ThinkPlus của Lenovo, với điểm yếu được phân loại là CWE-290: Authentication Bypass by Spoofing. Người tấn công cần là người dùng đã xác thực trên máy cục bộ và có quyền thấp; không cần tương tác bổ sung từ người dùng khác. Điều kiện tấn công được ghi nhận là phải hiện diện, nhưng bản ghi không mô tả điều kiện cụ thể đó. Dữ liệu đầu vào do người tấn công kiểm soát là thao tác đăng ký một dấu vân tay không được tin cậy, qua đó có thể vượt qua cơ chế xác thực thiết bị ThinkPlus. Bản ghi không tiết lộ chi tiết triển khai gây lỗi, chẳng hạn lỗi kiểm tra tính hợp lệ, quản lý trạng thái hay cập nhật kho tin cậy. Phạm vi sản phẩm được xác nhận gồm ThinkPlus FU100, FU200, TU800 và TSD303 bản Gen 1.

Lỗ hổng có thể bị khai thác cục bộ bởi người dùng đã xác thực với quyền thấp. Bản ghi đánh giá độ phức tạp tấn công là thấp, không yêu cầu tương tác của người dùng khác và ghi nhận có điều kiện tấn công phải hiện diện. Bản ghi được cung cấp đánh dấu không có public exploit; dữ liệu enrichment được trả về cũng ghi nhận exploitation là none và automatable là no. Những trạng thái này không chứng minh rằng không có hành vi khai thác chưa được công bố.

Khai thác thành công có thể làm mất hiệu lực một phần hoặc toàn bộ cơ chế xác thực thiết bị ThinkPlus bằng cách thêm vân tay không được tin cậy. Bản ghi đánh giá tác động tiềm tàng đối với tính bảo mật, toàn vẹn và khả dụng của thiết bị là cao, trong khi không xác nhận tác động lan sang hệ thống khác. Hậu quả thực tế phụ thuộc vào các chức năng được bảo vệ bằng xác thực vân tay và quyền mà thiết bị cấp sau khi xác thực. Điều kiện tiên quyết là kẻ tấn công đã có quyền truy cập cục bộ và đã xác thực, nên lỗ hổng không mô tả một đường tấn công mạng từ xa độc lập.

Kẻ tấn công đã có quyền truy cập cục bộ và tài khoản hợp lệ có thể đăng ký một vân tay không đáng tin cậy trên thiết bị ThinkPlus. Điều này có thể cho phép truy cập trái phép vào các chức năng hoặc dữ liệu được bảo vệ bởi xác thực thiết bị, tùy thuộc vào cách thiết bị sử dụng thông tin vân tay. Một thiết bị bị thay đổi cơ chế xác thực cũng có thể làm suy yếu kiểm soát truy cập và tạo rủi ro cho tính toàn vẹn vận hành. Bằng chứng hiện có không xác nhận một vụ xâm nhập, mất dữ liệu cụ thể hoặc chiến dịch tấn công đang diễn ra.

1. Áp dụng biện pháp khắc phục của Lenovo: Lenovo cho biết đã phát hành giải pháp ở cấp phần cứng để sửa các lỗ hổng và cung cấp nâng cấp hậu mãi miễn phí cho người dùng bị ảnh hưởng.
2. Liên hệ bộ phận dịch vụ Lenovo để xác minh serial number và nhận hướng dẫn thay thiết bị hoặc nâng cấp firmware tại chỗ. Bằng chứng hiện có không nêu một phiên bản firmware cố định cụ thể, vì vậy không nên tự suy luận một phiên bản thay thế.
3. Trước khi gửi thiết bị đi nâng cấp, sao lưu dữ liệu quan trọng và xóa hoặc format hoàn toàn thiết bị theo hướng dẫn của Lenovo để loại bỏ dữ liệu còn lưu.
4. Sau khi khắc phục, xác nhận lại trạng thái thiết bị và kiểm tra danh sách vân tay đã đăng ký. Nếu không thể áp dụng ngay biện pháp sửa lỗi, hạn chế quyền truy cập cục bộ và quyền sử dụng phần mềm cấu hình ở mức cần thiết, nhưng đây chỉ là biện pháp giảm thiểu tạm thời.

1. Kiểm kê các thiết bị Lenovo ThinkPlus FU100, FU200, TU800 và TSD303, đặc biệt xác định thiết bị đang chạy bản Gen 1.
2. Đối chiếu serial number của từng thiết bị với Lenovo để xác định thiết bị đã được áp dụng biện pháp khắc phục phần cứng hoặc nâng cấp firmware hay chưa.
3. Kiểm tra danh sách vân tay đã đăng ký trên các thiết bị bị ảnh hưởng và điều tra mọi vân tay không được chủ sở hữu hoặc quản trị viên phê duyệt.
4. Rà soát các bản ghi đăng nhập cục bộ và thay đổi cấu hình nếu hệ thống có lưu các dữ liệu này; đây là biện pháp phòng ngừa vì Lenovo không công bố log event hoặc IOC cụ thể cho lỗ hổng này.
5. Không coi việc không phát hiện vân tay bất thường hoặc không có log liên quan là bằng chứng thiết bị an toàn.