最近，聯想的裝置又可以被很容易地劫持，同時戴爾和東芝的個人電腦也因為嚴重漏洞而受到影響。安全研究員slipstream/rol線上釋出了漏洞并示範了如何侵入市場上的機器。
三個oem，三個預裝應用程式，三個漏洞
美國的cert已經釋出了聯想漏洞的警報，中國總部也正在加緊腳步解除安裝解決方案中心。
美國網際網路應急中心(cert)表示：
“當一位使用者打開聯想解決方案中心檢視網絡檔案後，攻擊者可以通過系統權限執行任意代碼。而且，本地使用者也可以這樣做到。”
聯想解決方案中心也在公司網站上釋出證明了該安全問題，他們正在以最快的速度修複這個漏洞：
“我們正在評估這個漏洞，并會盡快提供更新和适用的更新檔給大家。更多資訊和更新将會公布在安全公告裡。”
如果你的聯想解決方案中心一直開着，那麼黑客可以通過csrf遠端利用漏洞。
漏洞詳情
聯想
1.聯想解決方案中心建立了一個名為lsctaskservice的程序能以管理者權限操作運作并彈出55555端口上的一個web伺服器。它也可以通過get和post http請求執行本地使用者目錄中的代碼。
2.聯想解決方案中心一般以完全控制權限執行硬碟上任意位置的程式。把惡意軟體放到裡面，聯想解決方案中心就會執行該惡意軟體。
3.在lsctaskservic程序中存在一個典型的跨站請求僞造(csrf)漏洞，允許任何通路的網頁将指令傳遞到本地web伺服器并執行。
戴爾
同樣的，戴爾的捆綁工具dell系統檢測，可以直接獲得管理者權限安裝惡意軟體破壞你的計算機。
東芝
而東芝的服務站工具則可以讓普通的使用者或未經授權的軟體直接擁有系統級使用者的權限讀取作業系統的系統資料庫。
作者：藍雨淚
來源：51cto