Исследователи нашли опасную уязвимость в программе Touchpoint Analytics, установленной на большинстве компьютеров HP.
Специалисты HP залатали опасный баг в приложении Touchpoint Analytics Client. Уязвимость позволяла злоумышленнику повысить свои привилегии на целевом компьютере и выполнить вредоносный код с системными правами. Исследователи компании SafeBreach, обнаружившие недостаток, раскрыли технические детали ошибки после того, как производитель подготовил патч.
Приложение Touchpoint Analytics Client предназначено для сбора информации о производительности системы и устанавливается на большинство компьютеров HP под управлением Windows. Как выяснили ИБ-специалисты, для мониторинга температуры, скорости вращения кулера и других параметров машины приложение использует стороннюю библиотеку Open Hardware Monitor. Ее процессы выполняются с системными правами и предполагают загрузку нескольких дополнительных DLL.
Аналитики обнаружили, что в коде Open Hardware Monitor не указан точный адрес расположения необходимых ей объектов. Программа ищет библиотеки atiadlxx.dll, atiadlxy.dll и Nvapi64.dll в системных каталогах, а далее — в папках, заданных через переменную окружения PATH. Кроме того, как выяснили специалисты, приложение не проверяет цифровую подпись полученных файлов перед запуском.
Если один из PATH-каталогов на уязвимой машине разрешает запись файлов обычному пользователю, злоумышленник с локальным доступом к системе сможет добавить в него вредоносные версии библиотек. В результате Open Hardware Monitor выполнит эти DLL с привилегиями уровня SYSTEM, что открывает возможности для широкого спектра кибератак.
Уязвимость зарегистрирована как CVE-2019-6333 с рейтингом угрозы 6,7 балла по шкале CVSS. Баг присутствует во всех версиях HP Touchpoint Analytics Client младше 4.1.4.2827. Обновление безопасности, устраняющее недостаток, появилось на сайте разработчика 4 октября 2019 года.
В прошлом году HP пришлось срочно латать уязвимости в прошивке своих принтеров. Девятибалльный баг в системном ПО 166 моделей печатающих устройств позволял злоумышленнику выполнить вредоносный код через переполнение стека или статического буфера. Для эксплуатации недостатка атакующему было достаточно лишь отправить на целевой принтер специальный файл.