PoC Exploit για ευπάθεια εκτέλεσης κώδικα της Lenovo

Μια κρίσιμη ευπάθεια στους οδηγούς Dispatcher της Lenovo έχει έρθει στο προσκήνιο μετά την κυκλοφορία ενός proof-of-concept exploit από ερευνητές, που δείχνει την κλιμάκωση προνομίων σε επηρεαζόμενα συστήματα Windows.

Δείτε επίσης: Microsoft και Asus ξεκινούν τις προπαραγγελίες του Xbox Ally

Η ευπάθεια, με κωδικό CVE-2025-8061, προκύπτει από ανεπαρκείς ελέγχους πρόσβασης στους οδηγούς, επιτρέποντας ενδεχομένως σε τοπικούς επιτιθέμενους να εκτελέσουν αυθαίρετο κώδικα με αυξημένα προνόμια.

Ανακαλύφθηκε από την εταιρεία ασφάλειας Quarkslab και επηρεάζει φορητούς υπολογιστές καταναλωτών της Lenovo που τρέχουν παλαιότερες εκδόσεις οδηγών, προκαλώντας ανησυχία στους χρήστες που δεν έχουν εφαρμόσει πρόσφατες ενημερώσεις.

Οι οδηγοί Dispatcher της Lenovo, εκδόσεις 3.0 και 3.1, διαχειρίζονται διεργασίες συστήματος σε ορισμένους φορητούς υπολογιστές καταναλωτών, αλλά εκθέτουν μια διεπαφή IOCTL χωρίς κατάλληλους περιορισμούς πρόσβασης. Αυτή η παράλειψη, καταταγμένη υπό το CWE-782, επιτρέπει σε έναν αυθεντικοποιημένο τοπικό χρήστη να χειριστεί τον οδηγό και να προκαλέσει εκτέλεση κώδικα σε λειτουργία πυρήνα, οδηγώντας σε πλήρη παραβίαση του συστήματος.

Η Εθνική Βάση Ευπαθειών το αξιολογεί με CVSS 4.0 βαθμολογία 7.3, αναφέροντας υψηλές επιπτώσεις στην εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα, αν και απαιτεί τοπική πρόσβαση και υψηλή πολυπλοκότητα επίθεσης. Τα επηρεαζόμενα συστήματα περιλαμβάνουν αυτά με τον οδηγό LnvMSRIO.sys έως την έκδοση 3.1.0.36, που βρίσκονται συνήθως σε φορητούς υπολογιστές Lenovo με προεγκατεστημένα Windows 10 ή παλαιότερες εκδόσεις των Windows 11 χωρίς προεπιλεγμένες μετριαστικές λύσεις. Νεότεροι οδηγοί Dispatcher 3.2 και άνω δεν επηρεάζονται, καθώς η Lenovo διόρθωσε την ευπάθεια στην έκδοση 3.1.0.41 που κυκλοφόρησε τον Σεπτέμβριο του 2025.

Δείτε ακόμα: Colt: Η ransomware ομάδα Warlock πουλά δεδομένα πελατών

Η ενεργοποίηση της Ακεραιότητας Μνήμης Απομόνωσης Πυρήνα των Windows εμποδίζει την εκμετάλλευση, μια λειτουργία που είναι ενεργή από προεπιλογή στα συστήματα Lenovo με Windows 11, μειώνοντας τον πραγματικό κίνδυνο για ενημερωμένους χρήστες.

Ο ερευνητής ασφαλείας Luis Casvella από την Quarkslab περιέγραψε λεπτομερώς το exploit σε ανάρτηση ιστολογίου τον Σεπτέμβριο του 2025, επισημαίνοντας πώς οι επιτιθέμενοι μπορούν να αξιοποιήσουν το MSR read primitive του οδηγού για να διαρρεύσουν διευθύνσεις πυρήνα όπως το KiSystemCall64 μέσω του καταχωρητή LSTAR (MSR 0xC0000082). Αυτή η πληροφορία επιτρέπει την παράκαμψη των προστασιών ASLR και SMEP, με το PoC να δείχνει shellcode για κλοπή token για την προσωποποίηση της διαδικασίας SYSTEM.

Η ανάλυση του Casvella σημειώνει τέσσερα σχετικά σφάλματα στον οδηγό, υπογραμμίζοντας τις τακτικές BYOVD όπου υπογεγραμμένοι οδηγοί παρακάμπτουν το DSE για μετα-εκμετάλλευση. Αν και δεν έχουν αναφερθεί εκμεταλλεύσεις σε άγρια κατάσταση, το δημόσιο PoC υπογραμμίζει την ευκολία προσαρμογής για Red Teams ή συγγραφείς κακόβουλου λογισμικού που στοχεύουν μη ενημερωμένες συσκευές Lenovo.

Δείτε επίσης: Η Motorola μπαίνει στο πεδίο των laptop

Η Lenovo προτρέπει άμεσες ενημερώσεις στον οδηγό Dispatcher 3.1.0.41 ή νεότερη έκδοση μέσω του Windows Update ή της ιστοσελίδας υποστήριξής τους για να κλείσει το κενό. Για επιπλέον προστασία, οι χρήστες θα πρέπει να επαληθεύσουν την Απομόνωση Πυρήνα στην Ασφάλεια των Windows υπό την Ασφάλεια Συσκευής, ενεργοποιώντας την Ακεραιότητα Μνήμης εάν είναι απενεργοποιημένη, η οποία εμποδίζει εκμεταλλεύσεις πυρήνα χωρίς επιπτώσεις στην απόδοση σε σύγχρονο υλικό. Οι οργανισμοί θα πρέπει να σαρώσουν για ευάλωτους οδηγούς χρησιμοποιώντας εργαλεία όπως αυτά της AhnLab ή να παρακολουθούν για ανωμαλίες IOCTL στα τελικά σημεία.