BLEEPINGCOMPUTERは12月16日(現地時間)、LenovoのThinkPadやYogaなどのノートPCに特権昇格バグがあり、攻撃者が管理者特権でコマンドを実行できる脆弱性があると報告した。
欠陥はCVE-2021-3922およびCVE-2021-3969として報告されており、Lenovoの多くのPCにプリインストールされている「Lenovo System Interface Foundation」のバージョン1.1.20.3以前に含まれる「ImControllerService」コンポーネントを利用したもの。
□Technical Advisory – Lenovo ImController Local Privilege Escalation (CVE-2021-3922, CVE-2021-3969) – NCC Group Research –
https://research.nccgroup.com/2021/12/15/technical-advisory-lenovo-imcontroller-local-privilege-escalation-cve-2021-3922-cve-2021-3969/
「LenovoSystemInterface Foundation Service」は、システムの電源管理、システム最適化、ドライバとアプリケーションの更新、Lenovo Companion、Lenovo Settings、LenovoIDなどのLenovoアプリケーションへのシステム設定などの主要機能のインターフェイスを提供するものだという。このサービスを無効にすると、Lenovoのアプリケーションが正常に動作しなくなる可能性がある。
対策としては、ImControllerServiceコンポーネントのバージョンアップが唯一の解決法としている。
□関連リンク
BLEEPINGCOMPUTERのホームページ
https://www.bleepingcomputer.com/
リリース(英文)
https://www.bleepingcomputer.com/news/security/lenovo-laptops-vulnerable-to-bug-allowing-admin-privileges/
2021年12月17日 15:38
PC Watch
https://pc.watch.impress.co.jp/docs/news/1375191.html