Lenovo ha pubblicato la correzione di due falle che interessano tutti i notebook in produzione, compresi ThinkPad e Yoga.
Due bug nel servizio ImControllerService dei notebook Lenovo, inclusi i top di gamma ThinkPad e Yoga, consente a un attaccante di ottenere i privilegi di amministratore e di eseguire comandi arbitrari. I problemi riguardano il componente ImControllerService di tutte le versioni di Lenovo System Interface Foundation antecedenti alla 1.1.20.3.
A rilevare le falle sono stati i ricercatori di NCC Group, che il 29 ottobre hanno allertato Lenovo. Il 14 dicembre il produttore ha pubblicato gli aggiornamenti di sicurezza che chiudono il problema e solo il giorno successivo NCC ha pubblicato il dettaglio con la descrizione delle falle.
La prima vulnerabilità è monitorata con la sigla CVE-2021-3922 ed è legata alla race condition in IMController, un componente software di Lenovo System Interface Foundation. Se sfruttata consentirebbe a un attaccante locale di connettersi e interagire con i processi legati al componente stesso.
CVE-2021-3969 è invece una vulnerabilità TOCTOU (Time of Check Time of Use) che affligge lo stesso componente software, ed è quella che porta all’escalation dei privilegi.
IMController è un componente chiave dei notebook Lenovo perché serve per comunicare con app universali come Lenovo Companion, Lenovo Settings e Lenovo ID. È preinstallato per default in tutti i prodotti e, qualora venisse disabilitato, le applicazioni predefinite di Lenovo smetterebbero di funzioonare correttamente. Per questo motivo ne è fortemente consigliata la rimozione.
Lenovo consiglia di correggere le falle installando la versione 1.1.20.3 di IMController. Per controllare la propria versione di IMController è sufficiente aprire Esplora file e risalire alla cartella C:\Windows\Lenovo\ImController\PluginHost\, quindi selezionare il file Lenovo.Modern.ImController.PluginHost.exe con il tasto destro del mouse e scegliere l’opzione Proprietà. Qui, nella scheda Dettagli, è riportata la versione del file. Se la release presente è antecedente alla 1.1.20.3 dev’essere aggiornata con priorità.
Nei sistemi in cui è configurato l’aggiornamento automatico delle patch la correzione ha già preso corso in maniera automatica.
Umberto Zanatta, Senior Solutions Engineer di Acronis, approfondisce come l’automazione del patch management possa semplificare le attività quotidiane, migliorare l’efficienza e assicurare una maggiore aderenza ai requisiti normativi, anche in ambienti IT complessi e distribuiti
08-07-2025
La rivoluzione del quantum computing mette a rischio la crittografia attuale: Umberto Pirovano di Palo Alto Networks spiega rischi, tempistiche e soluzioni post-quantum.
07-07-2025
Nel corso del PartnerOne Summit 2025 il vendor di cybersecurity premia i contributi di eccellenza all'innovazione nelle soluzioni di sicurezza dei propri partner
07-07-2025
Noto gruppo criminale sfrutta la compromissione di fornitori BPO e call center per colpire più vittime in settori chiave. Facciamo il punto sulle nuove tattiche.
04-07-2025