联想、戴尔和东芝电脑曝严重OEM漏洞

小渣渣

最近，联想的设备又可以被很容易地劫持，同时戴尔和东芝的个人电脑也因为严重漏洞而受到影响。安全研究员slipstream/RoL在线发布了漏洞并演示了如何侵入市场上的机器。
三个OEM，三个预装应用程序，三个漏洞
美国的CERT已经发布了联想漏洞的警报，中国总部也正在加紧脚步卸载解决方案中心。
美国互联网应急中心（CERT）表示：

如果你的联想解决方案中心一直开着，那么黑客可以通过CSRF远程利用漏洞。

漏洞详情

联想

1.联想解决方案中心创建了一个名为LSCTaskService的进程能以管理员权限操作运行并弹出55555端口上的一个Web服务器。它也可以通过GET和POST HTTP请求执行本地用户目录中的代码。

2.联想解决方案中心一般以完全控制权限执行硬盘上任意位置的程序。把恶意软件放到里面，联想解决方案中心就会执行该恶意软件。

3.在LSCTaskServic进程中存在一个典型的跨站请求伪造（CSRF）漏洞，允许任何访问的网页将命令传递到本地Web服务器并执行。

戴尔

同样的，戴尔的捆绑工具Dell系统检测，可以直接获得管理员权限安装恶意软件破坏你的计算机。

东芝

而东芝的服务站工具则可以让普通的用户或未经授权的软件直接拥有系统级用户的权限读取操作系统的注册表。

原文：http://www.freebuf.com/news/88650.html

夏天

admin

估计许多黑客在扫描55555端口