اشتباهات لنوو كار دست اين برند داد

به گزارش پایگاه خبری بانکداری الکترونیک، پس از آشکار شدن چند نقص امنیتی در محصولات لنوو، این شرکت مجبور به برطرف کردن فوری آن‌ها گردید. یکی از این نقص‌ها استفاده از رمز عبور 12345678 به‌عنوان پیش‌فرض است.

محققان شرکت Core Security، چهار آسیب‌پذیری در عملکرد برنامه به اشتراک‌گذاری فایل لنوو به نام ShareIT کشف کردندکه این نواقص می‌توانند منجر به حمله مردمیانی (man-in-the-middle)، نشت اطلاعات و دور زدن رمزگذاری‌ها شود.

ShareIT، برنامه رایگان لنوو است که به کاربران اجازه اشتراک‌گذاری فایل‌ها و پوشه‌ها بین رایانه‌ها، تلفن‌های هوشمند تبلت ها را می‌دهد. این آسیب‌پذیری‌های ShareIT، اندروید 3.0.18 وویندوز 2.5.1.1 را تحت تأثیر قرار می‌داد. محصولات و نسخه‌های دیگر نیز ممکن است نسبت به این نقص آسیب‌پذیر باشند، اما آزمایشی درباره آن‌ها انجام‌نشده تا صحت این فرضیه ثابت شود.

اولین آپدیت امنیتی (CVE-2016-1491)، نقص پسورد هارد کد شده را برطرف نمود که این نقص در ویندوز، منجر به سوءاستفاده از هات اسپات وای فای می‌شد. هنگامی‌که ShareIT لنوو در ویندوز برای دریافت فایل‌ها پیکربندی می‌شد، یک هات اسپات وای فای با رمز عبور آسان (12345678) تنظیم می‌شد. هر سیستم باکارت شبکه وای فای، می‌توانست با آن رمز عبور به هات اسپات وصل شود. این رمز عبور همیشگی بود و تغییری نمی‌کرد.

دومین نقص (CVE-2016-1490) کنترل از راه دور اشتراک‌گذاری فایل در ShareIT را تحت تأثیر قرار می‌داد. هنگامی‌که شبکه وای فای”روشن و قابل‌استفاده بود”با استفاده از رمز عبور پیش‌فرض، فایل‌ها می‌توانستند از طریق درخواست ساده HTTP مورد وارسی قرار گیرند. این رمز عبور پیش‌فرض دوباره “12345678 ” قرار داده‌شده بود.

مشکل سوم (CVE-2016-1489) نقصی را برطرف نمود که درنتیجه آن فایل‌ها بدون رمزنگاری در ShareIT منتقل می‌شدند. مهاجمی که قادر به استراق سمع ترافیک شبکه است، می‌تواند به اطلاعات منتقل‌شده دسترسی پیدا کند و یا برای مثال با تغییر محتوای فایل‌های منتقل‌شده حملات مردمیانی (MITM) را راه بیندازد. آخرین آپدیت (CVE-2016-1492)، باگ یا نقصی را برطرف می‌کرد که به مهاجمان اجازه اتصال به هات اسپات وای فای و ضبط داده‌های منتقل‌شده بین دستگاه‌های متصل را می‌داد. علاوه به راین، یک هات اسپات وای فای باز، بدون نیاز به پسورد قابل ایجاد بود.

Core Security، بیان داشت این نواقص در اوایل پاییز به لنووگزارش شد و اصلاحیه آن‌ها در 25 ژانویه منتشر شد. این اولین بار نیست که از لنوو چنین اشتباه‌های امنیتی سر می‌زند. در سال گذشته، زمانی که مشخص شد که آگهی‌افزار سوپرفیش بر روی دستگاه‌های لنوو نصب شده و با استفاده از گواهی‌های جعلی به جمع‌آوری داده‌های حساس مانند اطلاعات ترافیک وب می‌پردازد، این شرکت با واکنش‌های شدیدی مواجه شد.
همرسان