Womöglich industrieweites Problem:
Zero-Day-Exploit für ThinkPads

Ein Sicherheitsforscher hat in der zurückliegenden Woche eine schwerwiegende Sicherheitslücke beim chinesischen PC-Hersteller Lenovo aufgedeckt. Betroffen ist eine UEFI-Version, die auf ThinkPads zum Einsatz kommt und den Secure Boot sowie Microsofts Sicherheitsmechanismen aushebelt. Angreifer können so unter Umständen zunächst den Schreibschutz des Flash-Speichers entfernen und sich dann auf dem System nach Belieben austoben. Möglich wäre Malware einzuschleusen und diese dann mit Systemrechten auszuführen. Der Exploit wurde ThinkPwn genannt, eine Zusammensetzung aus ThinkPad und dem Begriff Pwned.

ThinkPwn könnte ein industrieweites Problem sein

Hat der Exploit erst einmal die erste Sicherheitsschranke umgangen, sind die Sicherheitsmechanismus von Windows kein Hindernis. Diese werden einfach mit Nutzerrechten ausgeschaltet.

Herausgefunden hat das ein Sicherheitsforscher. Dmytro Oleksiuk aka Cr4sh hat in seinem Blog den Fehler in der Firmware und einen Exploit gezeigt. Der Treiber für die vereinheitlichte erweiterbare Firmware-Schnittstelle (kurz UEFI) soll nicht direkt von Lenovo, sondern von einem nicht genannten Drittanbieter stammen - das macht das ganze Problem noch etwas heikler. Denn laut einem Statement von Lenovo könnte sich diese Zero-Day-Lücke zu einem industrieweiten Problem ausweiten (via Winbeta).

Siehe auch: Sicherheitsreport 2015: Negativrekorde bei Zero-Days, Malware & Co.

Derzeit ist noch nicht bekannt, ob es sich bei der Zero-Day-Lücke um eine bereits ausgenutzte Schwachstelle handelt, schreibt die Newsseite Winbeta. Aktuell ist nur belegt, dass das Problem bei ThinkPads auftaucht.

Wem das Ganze nun irgendwie bekannt vorkommt: Schon Ende 2015 gab es einen ähnlichen Vorfall, bei dem Lenovo zwei Zero-Day-Lücken im eigenen Solution Center schließen musste. Dabei kam heraus, dass es sich um ein Problem mit mitgelieferter Bloatware handelte, die so oder so ähnlich auch bei anderen PC-Herstellern zum Einsatz kam. Damals mussten Besitzer betroffener Geräte eine Woche nach bekanntwerden der Schwachstellen auf ein Sicherheitsupdate warten.

Mehr dazu: Hackerpreisliste: so viel zahlen NSA und Co für iOS-Zero-Day Exploit