Lenovo PSIRT

In Lenovo XClarity Orchestrator (LXCO) 2.2.0 besteht eine unzureichende Neutralisierung spezieller Elemente, die in Betriebssystembefehlen verwendet werden (OS-Kommandoinjektion). Ein authentifizierter Angreifer kann die Schwachstelle ausnutzen; weitere Angaben zu den genauen Auswirkungen sind in der Quelle abgeschnitten. CVSS-Basiswert: 8.8 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In Lenovo System Update wurde eine Sicherheitslücke gemeldet, die einem lokalen Benutzer mit interaktivem Systemzugriff ermöglicht, während des Installationsvorgangs Code mit erhöhten Rechten auszuführen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der DeviceSettingsSystemAddin-Komponente von Lenovo Vantage und Lenovo Baiying wurde eine Eingabevalidierungslücke gemeldet, die einem lokalen authentifizierten Benutzer erlaubt, beliebige Registry-Schlüssel zu verändern. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der DeviceSettingsSystemAddin-Komponente von Lenovo Vantage und Lenovo Baiying wurde eine Eingabevalidierungslücke gemeldet, die einem lokalen authentifizierten Benutzer erlaubt, beliebige Registry-Schlüssel zu löschen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der ThinkPlus-Konfigurationssoftware wurde eine Schwachstelle gemeldet, über die ein lokal angemeldeter Benutzer die ThinkPlus-Geräteauthentifizierung umgehen und einen nicht vertrauenswürdigen Fingerabdruck registrieren kann. Damit lässt sich die biometrische Zugangskontrolle des Geräts unterlaufen; laut CVSS-Vektor sind Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch). Betroffene Installationen sollten auf Hinweise des Herstellers zu einer korrigierten Version geprüft werden.

In Lenovo App Store wurde laut Quelle eine unzureichende Berechtigungsprüfung (Improper Permissions) entdeckt, die es einem lokal authentifizierten Nutzer erlaubt, während der Installation einer Anwendung Code mit erhöhten Rechten auszuführen. CVSS-Basiswert: 7.3 (Hoch).

Im Lenovo PC Manager wurde eine potenzielle Schwachstelle gemeldet, die es einem lokalen, authentifizierten Benutzer erlauben könnte, Code mit erhöhten Rechten auszuführen. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo PC Manager wurde bei einer internen Sicherheitsüberprüfung eine potenzielle DLL-Hijacking-Schwachstelle entdeckt. Ein lokal authentifizierter Benutzer kann darüber Code mit erhöhten Privilegien ausführen. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo PC Manager wurde eine Schwachstelle mit fehlerhaften Berechtigungen (improper permission) gemeldet, über die ein lokaler Angreifer seine Rechte ausweiten kann. Laut CVSS-Vektor sind geringe Privilegien, aber keine Nutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Weitere technische Details liegen in den Quelldaten nicht vor.

In Lenovo Vantage wurde eine Schwachstelle durch fehlerhafte Validierung gemeldet, die es einem lokalen Angreifer unter bestimmten Bedingungen erlauben könnte, Code mit erhöhten Rechten auszuführen, indem bestimmte Registry-Speicherorte verändert werden. CVSS-Basiswert: 7.8 (Hoch).

In Lenovo Vantage wurde eine Schwachstelle durch unzureichende Validierung gemeldet: Unter bestimmten Bedingungen kann ein lokaler Angreifer durch Manipulation einer Konfigurationsdatei der Anwendung Code mit erhöhten Berechtigungen ausführen. Der Angriff erfordert laut CVSS-Vektor lokalen Zugriff mit niedrigen Rechten, aber keine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ein Eintrag in der CISA-KEV-Liste liegt derzeit nicht vor.

Im Lenovo PC Manager wurde eine Untrusted-Search-Path-Schwachstelle gemeldet, die einem lokalen Angreifer die Ausweitung seiner Rechte ermöglichen kann. Laut CVSS-Vektor genügen geringe Rechte, eine Benutzerinteraktion ist nicht erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Produkte von Lenovo.

Im Lenovo PC Manager wurde eine Schwachstelle durch unsichere Standardberechtigungen (Improper Default Permissions) gemeldet, die einem lokalen Angreifer die Ausweitung seiner Rechte ermöglichen kann. Laut CVSS-Vektor genügen niedrige Rechte und es ist keine Nutzerinteraktion erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit sind hoch betroffen. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung ist derzeit nicht belegt.

In Lenovo PC Manager wurde laut NVD eine unsachgemässe Berechtigungsprüfung gemeldet, die es einem lokalen Angreifer erlaubt, beliebige Dateien mit erhöhten Rechten zu löschen. CVSS-Basiswert: 7.1 (Hoch).

In Lenovo Super File wurde eine DLL-Hijacking-Schwachstelle gemeldet, über die ein lokaler Angreifer Code mit erhöhten Rechten ausführen kann. Die Ausnutzung erfordert lokalen Zugriff mit niedrigen Rechten, kann aber Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo App Store wurde eine DLL-Hijacking-Schwachstelle gemeldet, über die ein lokaler Angreifer Code mit erhöhten Rechten ausführen kann. CVSS-Basiswert: 7.8 (Hoch). Laut CVSS-Vektor ist lokaler Zugriff mit niedrigen Privilegien erforderlich, ohne Benutzerinteraktion. Empfohlene Massnahme: die vom Hersteller bereitgestellte Aktualisierung einspielen.

Im Lenovo Emulator wurde eine DLL-Hijacking-Schwachstelle gemeldet. Ein lokaler Angreifer kann darüber Code mit erhöhten Privilegien ausführen. Lokale Angreifer mit niedrigen Rechten können dadurch Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch).

In Lenovo Lock Screen wurde eine DLL-Hijacking-Schwachstelle gemeldet, über die ein lokaler Angreifer Code mit erhöhten Rechten ausführen kann. Die Ausnutzung erfordert lokalen Zugriff mit niedrigen Rechten, kann aber Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch).

In Lenovo stARstudio wurde eine DLL-Hijacking-Schwachstelle gemeldet. Ein lokaler Angreifer kann darüber Code mit erhöhten Privilegien ausführen. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo Driver Manager vor Version 3.1.1307.1308 besteht laut Quelle eine Path-Hijacking-Schwachstelle. Dadurch kann ein lokaler Nutzer Code mit erhöhten Rechten ausführen. Der Angriff erfolgt lokal und erfordert geringe Rechte, jedoch keine Benutzerinteraktion (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

In Lenovo PC Manager vor Version 2.8.90.11211 wurde laut Quellbeschreibung eine Schwachstelle gemeldet, die es einem lokalen Angreifer erlauben könnte, seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch).

In Lenovo PC Manager vor Version 2.8.90.11211 wurde laut NVD eine Schwachstelle gemeldet, die es einem lokalen Angreifer erlaubt, seine Rechte auszuweiten. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In SMM/SMM2 und FPC wurde eine Command-Injection-Schwachstelle identifiziert. Ein authentifizierter Benutzer mit erhöhten Rechten kann dadurch laut Lenovo bei Ausführung einer bestimmten administrativen Funktion Systembefehle ausführen. CVSS-Basiswert: 7.2 (Hoch).

In Lenovo Vantage wurde eine Rechteausweitungs-Schwachstelle gemeldet. Ein lokaler Angreifer kann dadurch Integritätsprüfungen umgehen und beliebigen Code mit erhöhten Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo Universal Device Client (UDC) wurden unkontrollierte Suchpfad-Schwachstellen gemeldet. Ein Angreifer mit lokalem Zugriff kann dadurch Code mit erhöhten Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

In Lenovo System Update wurde eine unkontrollierte Suchpfad-Schwachstelle gemeldet, die es einem Angreifer mit lokalem Zugriff erlaubt, Code mit erhöhten Rechten auszuführen. CVSS-Basiswert: 7.8 (Hoch).

Die Lenovo-LeCloud-App validiert Eingaben laut NVD unzureichend, wodurch Angreifer auf beliebige Komponenten zugreifen und beliebige Dateien herunterladen können, was zur Preisgabe von Informationen führen kann. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Auf vorinstallierten Lenovo-Geräten, die über Microsoft AutoPilot unter einem Standardbenutzerkonto bereitgestellt werden, besteht aufgrund fehlerhafter Standardrechte eine Schwachstelle zur Rechteausweitung. CVSS-Basiswert: 7.3 (Hoch).

In der Firmware einiger Lenovo-Drucker wurde eine Schwachstelle zur entfernten Codeausführung gefunden. Ein entfernter Benutzer kann über ein Skript eine unzulässige Zeichenkette an die serverseitige Schnittstelle senden und so einen Stack-Overflow auslösen. CVSS-Basiswert: 8.8 (Hoch).

Im Lenovo Vantage SystemUpdate-Plugin in Version 2.0.0.212 und früher wurde eine Schwachstelle zur Rechteausweitung gemeldet. Ein lokaler Angreifer kann dadurch beliebigen Code mit erhöhten Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo App Store wurde eine Schwachstelle identifiziert, die eine Offenlegung von Informationen ermöglicht. Dadurch können einzelne Anwendungen unautorisiert auf sensible Nutzerdaten zugreifen, die eigentlich zu anderen, nicht verwandten Anwendungen gehören. CVSS-Basiswert: 7.6 (Hoch). Angaben zu EPSS, aktiver Ausnutzung oder einem Ransomware-Bezug liegen für diese CVE nicht vor.

Ein authentifizierter XCC-Benutzer mit reiner Leseberechtigung kann über einen manipulierten API-Befehl das Passwort eines anderen Benutzers ändern. Betroffen sind ThinkSystem-Server der Versionen v2 und v3 mit XCC; ThinkSystem-Server v1 sind nicht betroffen. CVSS-Basiswert: 8.1 (Hoch).

In der Software Virtual Lock Sensor von Elliptic Labs für das Lenovo ThinkPad T14 Gen 3 besteht eine Schwachstelle, die einem Angreifer mit lokalem Zugriff erlaubt, Code mit erhöhten Rechten auszuführen. Der Angriff erfolgt lokal bei geringem Aufwand, setzt bereits eingeschränkte Rechte voraus und erfordert keine Nutzerinteraktion; betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit jeweils vollständig. CVSS-Basiswert: 7.8 (Hoch).

Im Lenovo HardwareScanPlugin vor Version 1.3.1.2 sowie in Lenovo Diagnostics vor Version 4.45 wurde laut NVD eine Rechteausweitungs-Schwachstelle gemeldet. Ein lokaler Nutzer kann dadurch Code mit erhöhten Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Ein authentifizierter XCC-Nutzer kann durch einen präparierten API-Befehl Berechtigungen für einen beliebigen anderen Nutzer verändern. Dies kann zu einer Ausweitung von Zugriffsrechten innerhalb des Systems führen. CVSS-Basiswert: 7.5 (Hoch).

Es wurde eine Schwachstelle im BIOS von ThinkPad P14s Gen 2, P15s Gen 2, T14 Gen 2 und T15 Gen 2 gemeldet, die dazu führen kann, dass das System bei einem korrupten BIOS auf unsichere Einstellungen zurückgesetzt wird. CVSS-Basiswert: 8.4 (Hoch).

Im Lenovo Universal Device Client (UDC) wurde laut NVD eine unkontrollierte Suchpfad-Schwachstelle gemeldet. Ein Angreifer mit lokalem Zugriff kann dadurch Code mit erhöhten Rechten ausführen. CVSS-Basiswert: 7.8 (Hoch).

Im Linux-Kernel wurde in den Lenovo-WMI-Hilfsfunktionen (platform/x86) ein Speicherleck behoben. lwmi_dev_evaluate_int() gab den Zeiger output.pointer im Fehlerfall nicht frei. Ubuntu hat dazu Kernel-Sicherheitsupdates veröffentlicht (USN-8593-1 sowie USN-8603-1 für Azure-Kernel). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Ubuntu bereitgestellten Kernel-Updates einspielen.

Im Linux-Kernel wurde im HID-Treiber hid-lenovo-go eine Schwachstelle behoben: hid_go_cfg_probe() initialisiert drvdata.go_cfg_setup und plant Arbeit ein, ohne dass hid_go_cfg_remove() diese zuverlässig storniert; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor; Severity-Einstufung: Mittel. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet und nicht mit Ransomware-Kampagnen in Verbindung gebracht. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In mehreren Microservices von Lenovo XClarity Orchestrator (LXCO) 2.2.0 besteht eine unzureichende Zertifikatsprüfung. Ein Angreifer im angrenzenden Netzwerk kann dadurch sensible Daten abfangen; weitere Details sind in der Quelle abgeschnitten. CVSS-Basiswert: 6.1 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

In der Linux-Version von Lenovo XClarity Essentials OneCLI 5.5.0 und darunter besteht eine Schwachstelle bei der Erstellung temporärer Dateien. Ein lokaler Angreifer mit geringen Rechten könnte dadurch beliebige lokale Dateien überschreiben oder kürzen. CVSS-Basiswert: 3.9 (Niedrig). Angaben zur Ausnutzungswahrscheinlichkeit (EPSS) liegen nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.