Újabb sebezhetőséget találtak a Lenovo gépein

A Lenovo gépeiről idén háromhavonta derül ki valamilyen súlyos sebezhetőség. Először februárban kellett eltávolítaniuk a Superfish nevű hirdetéskezelő programjukat, amely véletlenül nyilvánossá tette a felhasználók böngészési adatait. Aztán májusban három olyan hibát is talált egy biztonsági cég, amellyel átvehető lett volna az irányítás a számítógépek felett. Itt az augusztus, megvan az újabb hiba is: a cég fű alatt olyan programot telepített a gépeire, amelytől még a Windows teljes újratelepítésével se lehetett megszabadulni.

A néhány felhasználó által a közelmúltban kiszúrt program úgy került a gépekre, hogy a Lenovo Service Engine nevű szolgáltatás gyökérszintű hozzáféréssel rendelkezett, és minden bootoláskor automatikusan felülírt egy rendszerfájlt, majd létrehozott két másikat, amelyek letöltötték és feltelepítették a Onekey Optimizer nevű programot. Ez a gép teljesítményét javította mindenféle apró trükkel. A gond nem is a szándékolt funkció, hanem hogy

1. a felhasználó nem kérte és nem tudta, hogy ez a program fut a gépén,
2. szinte lehetetlen volt tőle megszabadulni, és ami a legfontosabb:
3. komoly biztonsági rést ütött a rendszeren.

A teljesítményjavításhoz persze felhasználói adatokat is küldött a program a gépről a Lenovo szervereire, bár a cég szerint ezek nem voltak alkalmasak a felhasználó azonosítására. Viszont a mechanizmus lehetővé tehette volna, hogy hekkerek a saját szerverükről telepítsenek levakarhatatlan kártékony programokat a Lenovo-gépekre. A cég végül már májusban javította a hibát, bár nem verték nagy dobra a dolgot.

Ami igazán érdekessé teszi az esetet, hogy a Lenovo által kihasznált mechanizmus valójában nem bug, hanem feature: a Microsoft még 2011-ben építette be a Windowsba, és először idén júliusban frissítették. A Next Web szerint a funkciót leíró dokumentum eredetileg azt írta, hogy a gyártóknak ezzel lehetősége van a Windows-telepítéseken átívelő szoftvert juttatni a gépre, de a Lenovo-féle sebezhetőség után pontosították a leírást, hogy "kritikus szoftver" és "lopás elleni védelem" célba juttatására szánják. Az már más kérdés, hogy a gyakorlatban a gyártók mit kezdenek vele.

Egyre nyilvánvalóbbá válik, hogy a gyártók által előtelepített operációs rendszer esetében már nemcsak a bloatware-nek nevezett, a cégek álta felpakolt, gyakran kevés hasznot hozó, de helyet foglaló szoftvert kell kerülgetni, de az átlagfelhasználó számára láthatatlan, potenciálisan veszélyes programokat is.

A Lenovo által kiadott frissítés nem települ automatikusan, innen lehet letölteni az érintett gépekre.