Брешь в софте Lenovo позволяет взломать Windows-ноутбуки за 10 минут

Брешь в софте Lenovo позволяет взломать Windows-ноутбуки за 10 минут

Брешь в софте Lenovo позволяет взломать Windows-ноутбуки за 10 минут

Исследователи Pen Test Partners (PTP) нашли уязвимость в программном обеспечении Lenovo Solution Centre (LSC). По словам специалистов, с помощью этой бреши злоумышленник может повысить свои права в системе. Проблема получила идентификатор CVE-2019-6177, она существует с 2011 года.

Lenovo ещё в апреле 2018 года рекомендовала пользователям перейти с Lenovo Solution Center на Lenovo Vantage или Lenovo Diagnostics. Компания больше не планирует поддерживать Lenovo Solution Center.

«К нам поступила информация об уязвимости в Lenovo Solution Center версии 03.12.003, которую мы уже не поддерживаем. Брешь позволяет записать лог-файлы в нестандартные места, что может привести к повышению прав в системе», — говорится в сообщении Lenovo.

Несмотря на то, что производитель делает акцент на окончании срока поддержки, следует учитывать: большинство ноутбуков на Windows от Lenovo поставляются с предустановленным уязвимым программным обеспечением.

«Мы обнаружили уязвимость повышения привилегий в софте Lenovo Solution Centre (LSC). Эта программа поставляется с большинством Windows-ноутбуков данного производителя», — вот что пишут в отчете эксперты Pen Test Partners.

«В результате пользователь с низкими правами сможет указать файл, находящийся в любом месте системы, повысив ему права за счёт процесса Lenovo с высокими привилегиями».

Помимо этого, исследователи отметили, что уязвимая программа добавляет в систему задание «\Lenovo\Lenovo Solution Center Launcher», которое запускается с максимально доступными правами.

Чтобы использовать брешь в своих интересах, атакующий должен создать жесткую ссылку в директории C:\ProgramData\Lenovo\LSC\log\. Эта ссылка должна указывать на файл, права которого злоумышленник хочет повысить.

Правительство ужесточило требования к ПАК для генеративного ИИ

Правительство утвердило новые требования к программно-аппаратным комплексам генеративного искусственного интеллекта для включения их в льготный реестр. Согласно документу, разработчики таких решений должны располагать центром обработки данных мощностью не менее 10 МВт, а также системой хранения данных совокупным объёмом не менее 1 эксабайта.

Документ оказался в распоряжении «Коммерсанта». В нём также зафиксированы требования к вычислительным ресурсам и сетевой инфраструктуре.

В частности, комплексы должны использовать процессоры с матричными умножителями либо их аналоги с производительностью не ниже 8,75 PFLOP FP4, а также быть оснащены сетевыми адаптерами пропускной способностью от 400 Гбит/с с поддержкой технологии удалённого доступа к памяти (RDMA).

Как пояснили изданию в аппарате первого вице-премьера Дмитрия Григоренко, основной целью документа стало формирование самой категории программно-аппаратных комплексов для генеративного ИИ. При этом, по словам представителей правительства, задача «отсечь» часть участников рынка изначально не ставилась.

«Эксабайтное хранилище и сетевые подключения на 400 Гбит/с — это уровень крупных технологических компаний. Из-за новых требований рынок столкнётся с ростом затрат на инфраструктуру на 40–70%», — прокомментировал нововведения основатель WMT AI Игорь Никитин.

По оценке независимого эксперта Алексея Лерона, такие требования приведут к концентрации рынка в руках ограниченного числа игроков. В результате это может вызвать рост цен и сокращение предложения для заказчиков в сегменте B2B.

Источник «Коммерсанта» на рынке также отмечает, что наличие собственных вычислительных мощностей само по себе не гарантирует качество конечного продукта. По его словам, ключевую роль играет программное обеспечение, а требование о собственном ЦОД фактически превращается в дополнительный барьер для разработчиков.

Многие эксперты, опрошенные изданием, сходятся во мнении, что новые правила приведут к вытеснению нишевых игроков с рынка. В итоге в реестре могут остаться лишь 2–3 компании, способные инвестировать в строительство мощных ЦОД. Кроме того, документ усложнит создание альянсов между разработчиками оборудования и ПО и существенно сократит число новых стартапов в сфере генеративного ИИ.

RSS: Новости на портале Anti-Malware.ru