編集部からのお知らせ
記事まとめPDF「日本のスタートアップ」
お勧め記事まとめPDF「マイクロサービス」

デル、東芝、レノボ製PCのブロートウェアに脆弱性--概念実証コードが公開 - (page 2)

Zack Whittaker (ZDNet.com) 翻訳校正: 湯本牧子 吉武稔夫 (ガリレオ)

2015-12-07 11:37

 Lenovoの広報担当者は、影響を受けるモデル名やユーザーの数を具体的に明かそうとしなかったが、3日に同社のウェブサイトで公開したセキュリティアドバイザリに言及した。そこには次のような記載がある。「当社では脆弱性レポートを緊急に精査しており、できる限り早くアップデートおよび適切な修正を提供する予定だ。追加情報とアップデートは、用意でき次第このセキュリティアドバイザリページで公開する」

 Lenovoはソフトウェアの脆弱性をいつ修正するか明らかにしていないが、セキュリティアドバイザリの中で、Lenovo Solution Centerをアンインストールすれば今回の脆弱性によるリスクは取り除かれると述べている。

 東芝に関しては、ソフトウェアアップデートの検索機能などを備えたプリインストールアプリケーション「TOSHIBA Service Station」にセキュリティ脆弱性が見つかった。

 slipstream/RoLによれば、このアプリにログインすると、標準のユーザーアカウントよりも高い権限を持つシステムユーザーとしてレジストリの一部を読むことができるという。ただし、攻撃者がセキュリティアカウントマネージャ(SAM)やブートキーを読み取ることはできないとslipstream/RoLは述べている。同氏によると、「あらゆるレジストリパーミッションセットを回避」することが可能だという。

 また、slipstream/RoLは、Dellの製品にプリインストールされているアプリケーション「Dell System Detect」が悪用されて、「Windows」のセキュリティ機能を回避し、ユーザーの権限を昇格させるおそれがあるとも述べている。Dell System Detectは、サポートコールの前に問題がないかユーザーのシステムをチェックするアプリケーションだ。

 slipstream/RoLによると、攻撃者は署名されたアプリケーションを悪用し、ユーザーが諦めて権限の昇格を許可するまで、署名済みの「ユーザー アカウント制御」プロンプトを繰り返し表示させることが可能だという。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]