Lenovo System Update: Deserialisierung nicht vertrauenswürdiger Daten ermöglicht lokale Rechteerweiterung
Zusammenfassung
Lenovo System Update enthält eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten (CWE-502). Ein lokaler Benutzer mit gültigen Zugangsdaten kann sie ausnutzen, um Code mit erhöhten Rechten auszuführen. Ein Angriff aus der Ferne ist nicht möglich, lokaler Zugriff auf das betroffene System ist erforderlich. Lenovo hat den Support für System Update per 31. Oktober 2026 eingestellt, daher ist keine korrigierte Version zu erwarten.
Betroffen
- Lenovo System Update bis und mit 5.08.03.59 (gemäss Drittquellen; genauer Bereich mit Lenovo-Advisory LEN-232748 zu bestätigen)
Behoben in
- Unbekannt. Es wurde keine korrigierte Version veröffentlicht, und Lenovo hat den Support für System Update per 31. Oktober 2026 eingestellt.
Umgehung
- Unbekannt. Lenovo hat keine Workaround veröffentlicht.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
- Laut VulDB ist zum Zeitpunkt der Veröffentlichung kein öffentlicher Exploit verfügbar.
Unsere Empfehlung
- Prüfen, ob Lenovo System Update auf Endgeräten und Servern installiert ist, insbesondere auf Systemen mit mehreren Benutzern.
- Lenovo System Update deinstallieren und gemäss Empfehlung von Lenovo zu Lenovo Commercial Vantage migrieren.
- Bis zur Entfernung lokalen Zugriff von Standardbenutzern auf betroffene Geräte einschränken.
- Lenovo-Advisory LEN-232748 und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Lenovo product page support.lenovo.com
- Lenovo advisory LEN-232748 support.lenovo.com
- VulDB vuldb.com
- OffSeq radar.offseq.com
- CVE record mirror cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.