Lộ lọt thông tin sức khỏe nhạy cảm trong Lenovo Health Android Application

Một lỗ hổng đã được báo cáo trong Lenovo Health Android Application, được phân phối độc quyền tại thị trường Trung Quốc, có thể cho phép kẻ tấn công truy cập thông tin nhạy cảm liên quan đến sức khỏe.

• Lenovo Health Application trên Android: dữ liệu affected của CNA đánh dấu phạm vi phiên bản bắt đầu từ 0 và kết thúc tại 1.5.0, bao gồm 1.5.0; trạng thái mặc định bên ngoài phạm vi này là unaffected.
• Lenovo phân phối ứng dụng được nêu trong mô tả độc quyền tại thị trường Trung Quốc, và thông báo của Lenovo áp dụng cho máy tính bảng.
• Hướng dẫn của Lenovo nêu rằng cần cập nhật lên 1.5.0 hoặc cao hơn. Điều này không hoàn toàn nhất quán với dữ liệu affected có cấu trúc, vốn vẫn bao gồm 1.5.0; không nên tự động coi 1.5.0 là phiên bản đã sửa nếu chưa xác nhận lại ranh giới này với Lenovo.
• Không có bằng chứng hỗ trợ cho việc suy rộng phạm vi ảnh hưởng sang sản phẩm Lenovo khác hoặc nhánh phát hành Android khác.

Lenovo Health Android Application được phân loại với CWE-798, tức sử dụng thông tin xác thực được hard-code trong ứng dụng hoặc thành phần liên quan. Đánh giá được cung cấp cho thấy lỗ hổng có thể bị khai thác qua mạng, với độ phức tạp thấp, không yêu cầu quyền trước đó và không cần người dùng tương tác. Kết quả được nêu trong hồ sơ bao gồm khả năng truy cập thông tin sức khỏe nhạy cảm và ảnh hưởng đến tính toàn vẹn của dữ liệu do ứng dụng xử lý, nhưng không cho thấy ảnh hưởng đến tính sẵn sàng. Hồ sơ không công bố vị trí của thông tin xác thực, luồng xác thực, endpoint, tham số do kẻ tấn công kiểm soát, Android component cụ thể hoặc chuỗi request cần thiết. Vì vậy, có thể xác định phạm vi và điều kiện truy cập ở mức cao, nhưng không thể mô tả một exploit path cụ thể từ bằng chứng hiện có.

Lỗ hổng được mô tả là có thể truy cập qua mạng, với độ phức tạp thấp, không yêu cầu xác thực hoặc đặc quyền trước đó và không cần user interaction. Bản ghi chuẩn hóa đánh dấu không có public exploit, trong khi phần enrichment của CISA ghi nhận trạng thái exploitation là none và đánh giá lỗ hổng có thể được tự động hóa. Không có mã khai thác, endpoint, payload, chiến dịch hoặc chỉ báo xâm nhập cụ thể nào được công bố cho lỗ hổng này. Các trạng thái trên không chứng minh rằng việc khai thác là bất khả thi hoặc loại trừ hoàn toàn việc lạm dụng chưa được báo cáo.

Một cuộc tấn công thành công có thể làm lộ thông tin sức khỏe nhạy cảm và, theo đánh giá được cung cấp, có thể ảnh hưởng đến tính toàn vẹn của thông tin do ứng dụng xử lý. Điều kiện khai thác được mô tả là qua mạng, không cần đặc quyền trước đó và không cần người dùng tương tác, nên các thiết bị có ứng dụng dễ bị ảnh hưởng cần được ưu tiên kiểm tra. Hồ sơ không chỉ ra ảnh hưởng đến tính sẵn sàng hoặc việc mở rộng phạm vi sang hệ thống khác. Hậu quả thực tế phụ thuộc vào loại dữ liệu được ứng dụng lưu trữ hoặc trao đổi và việc ứng dụng có đang được sử dụng trên thiết bị bị ảnh hưởng hay không.

Lỗ hổng có thể dẫn đến truy cập trái phép vào dữ liệu sức khỏe nhạy cảm được ứng dụng xử lý, tạo rủi ro về quyền riêng tư, tuân thủ và niềm tin của người dùng. Đánh giá kỹ thuật được cung cấp cũng cho thấy khả năng ảnh hưởng đến tính toàn vẹn của dữ liệu, vì vậy tổ chức không nên chỉ giới hạn việc kiểm tra ở nguy cơ đọc dữ liệu. Không có bằng chứng trong hồ sơ cho thấy đã xảy ra rò rỉ, sửa đổi dữ liệu, chiến dịch tấn công hoặc sự cố cụ thể nào. Tình trạng ảnh hưởng thực tế cần được xác định bằng inventory phiên bản và rà soát telemetry phù hợp.

1. Thực hiện hướng dẫn của Lenovo bằng cách cập nhật Lenovo Health Android Application lên 1.5.0 hoặc cao hơn.
2. Vì dữ liệu affected có cấu trúc vẫn đánh dấu 1.5.0 là bị ảnh hưởng, hãy xác nhận với Lenovo rằng phiên bản dự kiến triển khai thực sự đã sửa lỗi trước khi đóng xử lý. Không suy luận trạng thái an toàn của 1.5.0 chỉ từ một nguồn khi hai thông tin đang không nhất quán.
3. Nếu chưa thể cập nhật, liên hệ Lenovo để nhận biện pháp giảm thiểu được hỗ trợ. Hồ sơ hiện không cung cấp workaround cụ thể, nên không nên tự tạo hoặc áp dụng một biện pháp cấu hình chưa được xác nhận.
4. Sau khi triển khai, cập nhật inventory để ghi nhận phiên bản ứng dụng trên từng thiết bị và tiếp tục điều tra các dấu hiệu truy cập bất thường nếu có.

1. Kiểm kê các máy tính bảng Lenovo được phân phối hoặc sử dụng tại thị trường Trung Quốc và xác định thiết bị có cài Lenovo Health Android Application hoặc Health Application.
2. Ghi nhận phiên bản ứng dụng từ inventory, MDM hoặc kiểm tra trực tiếp trên thiết bị. Dữ liệu affected có cấu trúc đánh dấu các phiên bản từ 0 đến 1.5.0 là bị ảnh hưởng.
3. Lưu ý rằng trạng thái của 1.5.0 đang có điểm không nhất quán: dữ liệu affected bao gồm phiên bản này, trong khi hướng dẫn của Lenovo yêu cầu cập nhật lên 1.5.0 hoặc cao hơn. Cần xác nhận ranh giới bản sửa với Lenovo trước khi kết luận thiết bị đã an toàn.
4. Có thể rà soát network telemetry để tìm các kết nối bất thường liên quan đến ứng dụng như một biện pháp phòng ngừa, nhưng hồ sơ không cung cấp endpoint, log event hoặc IOC đã biết.
5. Không xem việc không có log bất thường là bằng chứng cho thấy ứng dụng không bị ảnh hưởng hoặc dữ liệu chưa bị truy cập.