Lenovo指紋セキュリティはハードコードされたパスワードを介してバイパスできます

にマーティン・ベルトフ | Last Update: 2月 21, 2024 | 0 コメントコメント

コンピューターセキュリティの研究者は、Lenovo FingerprintManagerProアプリの危険なセキュリティの脆弱性を発見しました. レポートによると、ハードコードされたパスワードを入力することで、マルウェアユーザーは指紋セキュリティ認証を簡単に回避できます。.
Lenovo指紋セキュリティ画像

Lenovo Fingerprint Manager Proは、セキュリティバグのためにバイパスされる可能性があります

最近発見された危険な脆弱性のため、LenovoはFingerprintManagerProユーティリティの重要なセキュリティパッチを公開しました. セキュリティレポートによると、指紋クレデンシャルの管理を担当するプログラムには、認証プロセスを上書きするために使用できるハードコードされたパスワードが含まれています.

このソフトウェアは、MicrosoftWindowsファミリのすべてのメジャーバージョンと互換性があります (ウィンドウズ 7, 8 と 8.1) また、Lenovoのお客様はオペレーティングシステムのロックを設定できるだけでなく、, Webサービスのクレデンシャルも保存します. マルウェアオペレーターがそれを使用して銀行口座にアクセスできるなどのバグが存在する場合、これは非常に危険である可能性があります。. 指紋のクレデンシャル自体は、最新のセキュリティ標準に従って弱いアルゴリズムを使用して暗号化されています.

脆弱性の結果として、マシンに物理的にアクセスできるマルウェアユーザーは、パスワードを入力して、ターゲットコンピューターに無制限にアクセスできるようになります。. 被害者のユーザーが、指紋スキャンと保存されたパスワードクレデンシャルを使用してWebサービスを認証するように銀行サービスも構成している場合, その後、それらにもアクセスできます.

マルウェアコードをウイルスまたはトロイの木馬に埋め込むことにより、ターゲットコンピュータをリモートで侵害する可能性があります. このような攻撃は、Lenovo製品のユーザーに対して使用される可能性があります. 経験豊富なコンピューター犯罪者は、企業のフォーラムやユーザーコミュニティを通じて被害者を取得することで、被害者の可能性のあるリストを簡単に作成できます。.

Lenovo指紋セキュリティバグに関する詳細

バグの開示によると、バグは会社が提供するすべての範囲の製品に影響を及ぼします— ThinkPad, ThinkCentreおよびThinkStatonラップトップ, デスクトップモデルと同様に.

バグはまた、 CVE-2017-3762アドバイザリ これは次のようになります:

Lenovo FingerprintManagerProによって保存された機密データ, バージョン 8.01.86 およびそれ以前, ユーザーを含む’ Windowsログオン資格情報と指紋データ, 弱いアルゴリズムを使用して暗号化されます, ハードコードされたパスワードが含まれています, また、インストールされているシステムへのローカルの非管理アクセス権を持つすべてのユーザーがアクセスできます.

完全なリストには、Fingerprint Manager Proと互換性があり、その結果バグに対して脆弱な次の製品が含まれています: