联想与其它OEM厂家被发现捆绑软件带来的漏洞

*最近一年，Slipstream等安全研究机构接连曝出了PC制造商们的多起“重大错误”。*大家在联想、戴尔和东芝等厂家出售的PC上检查出了许多的‘捆绑软件’、甚至安全漏洞，然而这对于它们来说并非新鲜事，比如联想和戴尔依然在近几个月我行我素。情况的严重程度无须赘述，比如联想方面的漏洞就可被利用来远程触发和执行系统级的许可。

联想：

1）Lenovo Solution Center创建了一个名叫LSCTaskService的进程，其以完整的管理员权限运行，并且启用了55555端口上的一个web服务器。通过GET和POST HTTP请求，即可在本地用户可访问的目录中执行代码；

2）Lenovo Solution Center以完整权限运行时，磁盘上任意位置会允许写入，位于这些位置的某些不良软件会被以管理员权限执行；

3）LSCTaskService进程存在一个经典跨站请求伪造（CSRF）漏洞，使得任意访问网页通过将命令传递到本地web服务器，并以完整权限运行。

戴尔：

其捆绑的Dell System Detect工具软件，可获取管理员权限和执行任意命令。其可通过dell.com下载一个安全口令，但也易被滥用、以管理员权限执行各种程序（包括恶意软件）。

东芝：

捆绑的Service Station工具可被正常用户和未经授权的软件利用，以系统级权限读取操作系统中的大部分注册表。

当前，US CERT和联想给出的建议都是卸载Lenovo System Center，至于其它厂商，我们目前为止还未听到任何官方建议。

解决方案：

CERT/CC暂不知针对该问题的确切方案，不过大家可以参考如下方法：

卸载或关闭Lenovo Solution Center，以防止这些漏洞被利用；同时关闭任何运行中的Lenovo Solution Center实例。

[编译自：SlashGear, 来源：The Register]