Schwachstellen CVE-2021-3922, CVE-2021-3969 im ImController von in Lenovo Notebooks

[English]Notebooks und Geräte von Lenovo, die den ImController-Dienst verwenden, sind für eine Privileg Escation-Schwachstelle anfällig. Dies kann Angreifern die Möglichkeit eröffnen, Befehle mit Administrator-Berechtigungen auf den Geräte auszuführen. Es gibt aber ein Update, um die beiden Schwachstellen zu beseitigen.

Ich bin bereits die Tage bei den Kollegen hier auf die Information gestoßen und trage es mal als Sicherheitsthema nach. Sicherheitsforscher der NCC Group haben zum 15. Dez. 2021 dieses Advisory zu den Schwachstellen in den Lenovo Notebooks und Yoga-Geräten veröffentlicht.

Der ImController-Dienst

Lenovo liefert auf seinen Notebook- und Yoga-Geräten einen speziellen ImController-Dienst vorinstalliert aus. Der ImController-Dienst wird auf bestimmten Lenovo-Geräten (z. B. ThinkPad) installiert und läuft als SYSTEM-Benutzer. Der Dienst führt in regelmäßigen Abständen untergeordnete Prozesse für Systemkonfigurations- und Wartungsaufgaben aus.

Kritische Schwachstellen im Dienst

Der Dienst startet hochprivilegierte Kind-Prozesse, wodurch sich zwei Schwachstellen CVE-2021-3922 und CVE-2021-3969 ergeben. Diese betreffen die Komponente ImControllerService aller Lenovo System Interface Foundation Versionen unter 1.1.20.3. Unter Windows wird der Dienst als "System Interface Foundation Service" angezeigt. Als Komponente der Lenovo System Interface Foundation unterstützt diese die Lenovo-Geräte bei der Kommunikation mit universellen Apps wie Lenovo Companion, Lenovo Settings und Lenovo ID. Laut diesem Lenovo Support-Dokument gibt es folgende Schwachstellen.

• CVE-2021-3922: Eine Race-Condition-Schwachstelle im MController, die es einem lokalen Angreifer ermöglichen könnte, eine Verbindung zur Named Pipe des IMController-Unterprozesses herzustellen und mit dieser zu interagieren.
• CVE-2021-3969: Eine Time of Check Time of Use (TOCTOU) Schwachstelle im MController, die es einem lokalen Angreifer ermöglichen könnte, seine Rechte zu erweitern.

Beide Schwachstellen lassen sich nur lokal ausnutzen, könnten aber in einer Kette von Schwachstellen einigen Schaden anrichten. Lenovo hat inzwischen ein Update in Form der Lenovo System Interface Foundation Version 1.1.20.3 bereitgestellt (siehe Support-Dokument ), die die Schwachstellen beseitigt. Laut diesem Lenovo-Forenbeitrag sollte sich die Komponente automatisch aktualisieren.