El número de vulnerabilidades descubiertas en las aplicaciones de apoyo técnico instaladas en las computadoras por los fabricantes sigue en aumento. Nuevos exploits han sido publicados para Lenovo Solution Center, Toshiba Service Station y Dell System Detect.

Los fallas más graves parecen estar en Lenovo Solution Center y podrían permitir a una página web maliciosa ejecutar código en los equipos basados en Windows Lenovo con privilegios del sistema.

Las fallas fueron descubiertas por un hacker que utiliza los alias en línea Slipstream y RoL, quien liberó una prueba de concepto la semana pasada. Esto hizo que el CERT de la Universidad de Carnegie Mellon publicará un aviso de seguridad.

Uno de los problemas es causado por LSCTaskService, el cual es creado por el Centro de Soluciones de Lenovo y se ejecuta con privilegios de sistema. Este servicio abre un demonio HTTP en el puerto 55 555 que puede recibir comandos. Uno de esos comandos se llama RunInstaller y ejecuta archivos colocados en la carpeta %APPDATA%\LSC\Local.

Cualquier usuario local puede escribir en este directorio de forma independiente de sus privilegios, pero los archivos se ejecutan con la cuenta SYSTEM. Esto significa que un usuario restringido puede explotar la falla lógica para tener acceso completo del sistema.

Por otra parte, hay una falla de salto de directorio que puede ser explotada para engañar al Centro de soluciones de Lenovo y ejecutar código desde ubicaciones arbitrarias, por lo que un atacante no necesita ni siquiera colocar los archivos en la carpeta local antes mencionada.

Por último, el LSCTaskService es vulnerable a través de CSRF, un método de ataque a través del cual un sitio web malicioso puede transmitir solicitudes falsas al navegador del usuario. Esto significa que, con el fin de explotar las dos fallas anteriores, un atacante ni siquiera requiere acceso local al sistema donde está instalado el centro de soluciones de Lenovo, simplemente puede engañar al usuario para que visite una página web especialmente diseñada.

En un aviso de seguridad en su sitio web, Lenovo dijo que está investigando el informe de la vulnerabilidad y proporcionará una solución lo más pronto posible. Hasta entonces, los usuarios interesados pueden desinstalar el centro de soluciones de Lenovo con el fin de mitigar el riesgo, dijo la compañía.

Slipstream también publicó exploits de prueba de concepto para otras dos vulnerabilidades de menor impacto, una en la estación de servicio de Toshiba Toshiba Service Station y en el servicio de soporte de Dell, Dell System Detect (DSD), una herramienta que a los usuarios se les pide instalar cuando hagan clic en el botón "Detectar producto" en la página web de asistencia de Dell.