Lenovo System Update: Unzureichende Berechtigungen ermöglichen lokale Rechteausweitung
Zusammenfassung
Eine Schwachstelle mit unzureichenden Berechtigungen (CWE-276) in Lenovo System Update erlaubt einem lokalen, angemeldeten Benutzer, Code mit erhöhten Rechten auszuführen. Der CNA bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch. Für einen Angriff ist eine Anmeldung auf dem betroffenen Gerät sowie eine Benutzerinteraktion erforderlich.
Betroffen
- Lenovo System Update 0 bis 5.08.03.59
- CWE des Herstellers: CWE-276 (Incorrect Default Permissions)
Behoben in
- Unbekannt. Die korrigierte Version ist durch eine Primärquelle nicht bestätigt; bitte mit LEN-232748 prüfen. Eine Drittquelle nennt 5.08.04.85 oder neuer, was für diese CVE nicht verifiziert ist.
- Lenovo hat System Update per 31. Oktober 2026 als end of support deklariert; es werden keine weiteren Korrekturen veröffentlicht.
Umgehung
- Unbekannt. Kein vom Hersteller dokumentierter Workaround gefunden.
- Lokale Anmelderechte auf gemeinsam genutzten oder Kiosk-Geräten einschränken.
Ausnutzung
- In freier Wildbahn: Nicht bekannt.
- Öffentlicher Exploit: VulDB meldet keinen öffentlich verfügbaren Exploit und keine technischen Details (einzelne Quelle).
Unsere Empfehlung
- Lenovo-Endgeräte auf System Update prüfen.
- System Update wie von Lenovo empfohlen deinstallieren und auf Lenovo Commercial Vantage migrieren.
- Gemeinsam genutzte Mehrbenutzergeräte priorisieren.
- Auf unerwartete lokale Rechteausweitung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Lenovo Product Security Advisory LEN-232748 support.lenovo.com
- Lenovo System Update download page support.lenovo.com
- CVE Record CVE-2026-77873 www.cve.org
- VulDB entry 435860 vuldb.com
- OffSeq threat radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.