转载

解读联想预装程序LSC的三个CVE高危漏洞

联想电脑自带程序 Lenovo Solution Center（LSC）曾在去年被爆出严重安全问题。近期，该程序的多个安全问题导致了三个 CVE 高危漏洞，三个漏洞允许攻击者实现提权操作或终止任意系统进程。联想官方敦促用户尽快把该软件升级到最新版，否则，即将发布的Win10一周年RTM正式版也将受此威胁。

5 月初，安全公司 Trustware 发现联想 LSC 2.8 软件存在高危提权漏洞，并告知联想进行修复；之后联想发布了 LSC 3.3 修复版本，6月底， Trustware 再次发现 LSC 3.3 版本存在另外两个高危漏洞，仍然可以导致提权。

1 、 CVE-2016-1876 系统提权漏洞

公布时间： 5 月 11 日

影响版本： LSC 2.8 版本和早期版本

描述：

Lenovo Solution Center 2.8之前版本允许LocalSystem权限运行设备管理器进程，可以通过 CMD 命令以及对主机 55555 端口发起 HTTP 请求来实现，原因在于 LSC 使用自定义 HTTP 服务处理命令和接收数据时，不需系统任何授权检查。利用该漏洞可以取得系统权限执行恶意软件，甚至在使用者未开启执行 LSC 应用软件的状况下，仍可实现漏洞攻击。

漏洞详情: trustwave – CVE-2016-1876

(1) 以普通用户登录安装有Lenovo Solution Center 2.8.006 的系统

(2) 执行以下 cmd 命令开启 LSCWinService 服务：

sc start LSCWinService StartBackend

或者通过控制面板运行 Lenovo System Health and Diagnostics 程序。

(3) 在网页浏览器中执行以下请求：

http://localhost:55555/?v=1&controller=Actions&method=RunDeviceManeger

可以看到设备管理器出现，它是以 LocalSystem 账户运行的，而不是当前账户。

(4) 使用设备管理器选择安装用户模式或内核模式的驱动程序，通过在INF文件中加载漏洞代码或动态库，实现提权操作，只要设备管理器以 LocalSystem 权限运行，就可以执行更高权限代码。

漏洞演示视频：

http://v.youku.com/v_show/id_XMTY0NjI0ODUyNA==.html

2、CVE-2016-5248任意进程终止漏洞

公布时间：6月23日

影响版本：LSC 3.3.002版本和早期版本

描述：

任何本地用户在安装了 Lenovo Solution Center 3.3.002 或之前版本的系统中，利用以下命令可以终止任意进程：

sc start LSC.Services.SystemService StopProxy <PID>

这可以被攻击者用来作进一步攻击，如终止杀毒软件或其它安全软件进程。

漏洞详情： trustwave – CVE-2016-5248

3 、 CVE-2016-5249 任意代码执行漏洞

公布时间： 6月23日

影响版本：LSC 3.3.002版本和之前版本

描述：

当普通用户启动服务 LSC.Services.SystemService ，这项服务有三个传递参数，解释为：命名管道名字、互斥体名称和进程 ID 。这项服务设置的权限为任何权限用户都可以启动和停止。

服务以 TCP 服务端和一个随机端口方式启动，并利用命名管道向 TCP 服务端发送 IP:PORT 配对信息。如果攻击者利用自己的命名管道服务，然后启动 LSC .Services.SystemService ，他将与 TCP 终端形成连接。

因为TCP服务提供了几个API，其中一个为从磁盘加载.NET组件，联想利用此API在受信路径下加载.NET组件，但实际上，装有 Lenovo Solution Center 软件的系统，使用目录遍历模式，就可在磁盘的同一分区上加载任意.NET组件，由于TCP服务以 LocalSystem 权限运行，这个过程中，攻击者可以通过加载恶意组件而实现任意代码执行。

漏洞详情： trustwave – CVE-2016-5249

POC: Github