کمیته رکن چهارم – درست سه ماه بعد از اینکه مشخص گشت لنوو اقدام به نصب نرم افزاری خطرناک بر روی محصولات خودش می نماید، حالا یکبار دیگر این تولید کننده بسیار شناخته شده عرصه ی کامپیوترهای شخصی متهم به نادیده گرفتن فاکتورهای مهم امنیتی شده است.
به گزارش کمیته رکن چهارم،کمپانی IOActive، که در زمینه ی امنیت فعال دارد، طی گزارشی اعلام نموده که آسیب پذیری های امنیتی جدی در سیستم به روز رسانی کمپانی چین مورد بحث موسوم به Lenovo System Update پیدا نموده که به هکرها اجازه می دهد راهکار کنترل اعتبار آن را دور زده و نرم افزارهای معمول لنوو را با بد افزارها و برنامه های مخرب دیگری جایگزین کنند، ضمن اینکه امکان اجرای دستورات مختلفی از راه دور هم وجود دارد.
IOActive توضیح می دهد با بهره گیری از یکی از آسیب پذیری های موجود، مهاجمین قادر می گردند برای فایل های اجرایی مورد نظر خود مجوز های تقلبی ایجاد نموده و سپس آنها را در سیستم کاربر پیاده سازی و نرم افزار یا ابزار مخرب هدف را بر روی آن نصب نمایند.
در این شرایط برای مثال اگر فردی بخواهد لپ تاپ لنووی خود را از طریق شبکه بی سیم یک کافی شاپ آپدیت کند، هکرهای حاضر در همان مکان می توانند نرم افزارهای نصب شده توسط خود کمپانی مورد بحث را با آنچه که دلخواه شان است جایگزین کنند؛ به این راهکار در اصطلاح “حمله کلاسیک کافی شاپ” گفته می شود و در بحث های امنیتی یک شیوه نفوذ قدیمی و رایج به حساب می آید.
طبق بررسی های صورت پذیرفته حفره ای که پیش تر به آن اشاره شد در Lenovo System Update نسخه ی ۵٫۶٫۰٫۲۷ و همچنین نسخه های پیش از آن وجود دارد.
گفته می شود اولین بار این آسیب پذیری در ماه فوریه و توسط یکی از متخصصین فعال در حوزه ی امنیت کشف شده و سپس به کمپانی چینی برای اینکه آن را برطرف نماید نیز اطلاع رسانی صورت پذیرفته.
لنوو ماه پیش وصله ای را منتشر نموده که باگ فوق الذکر را رفع می کند اما در عین حال این شرکت از کاربران خواسته تا جهت امنیت بیشتر و برای اینکه اطمینان حاصل گردد دیگر خطری وجود ندارد به صورت دستی این پج را دانلود و بر روی کامپیوترهایشان نصب نمایند.
هر چند چینی ها در این مورد واکنش بسیار سریعی داشته و بلافاصله اقدام به برطرف کردن ضعف امنیتی خود نموده اند ولی مسلماً روند کنونی و دست به گریبان شدن با مشکلات امینیتی در بازه های زمانی کوتاه برای شرکتی که تلاش دارد عنوان یکی از بزرگترین تولید کنندگان کامپیوترهای شخصی را یدک بکشد به یقین خوشایند نخواهد بود.
منبع:رسانه خبری امنیت اطلاعات
