Исследователь информационной безопасности, известный под ником slipstream/RoL, нашел множество уязвимостей в стационарных компьютерах, ноутбуках и планшетах производства компаний Toshiba, Dell и Lenovo. Вся информация о брешах вместе с рабочими эксплоитами была незамедлительно обнародована исследователем.
Причиной существования уязвимостей являются ошибки в программном обеспечении, предустановленном производителями. Используя бреши, удаленный пользователь может выполнять на целевом компьютере произвольный код с правами администратора. Для успешного использования уязвимостей пользователю необходимо открыть файл, вложенный в зараженное письмо, либо осуществить переход на вредоносный веб-сайт.
Больше всего брешей было найдено в ноутбуках от Lenovo. Три бреши существуют из-за ошибок в программном обеспечении Lenovo Solution Center, которое устанавливается на планшеты ThinkPad и компьютеры IdeaCentre, IdeaPad, ThinkCenter и ThinkStation. Производителем уже подтверждено наличие уязвимостей и начата разработка исправления. Также уязвимости могут быть исправлены путем удаления Lenovo Solution Center.
В устройствах Toshiba зафиксирована уязвимость, которая существует вследствие ошибки в предустановленном приложении Toshiba Service Station, дающем простым пользователям возможность получать доступ к некоторым частям реестра с повышенными привилегиями.
Источником уязвимости в устройствах Dell является предустановленная программа Dell System Detect. Данное приложение, задача которого – сбор информации о системе перед соединением со службой поддержки пользователей, дает возможность обходить защитные механизмы Windows и повышать привилегии.
В настоящее время нет данных о точном количестве уязвимых устройств. По оценкам экспертов, число пострадавших пользователей исчисляется миллионами. Ни в Dell, ни в Toshiba не стали никак комментировать инцидент. Исследователь решил не предупреждать производителей о найденных уязвимостях, поскольку посчитал нечестной практику установки ненужного программного обеспечения на устройства, поставляемые конечным пользователям.