Dell nega 'app autoupdate inseguro' arremessa backdoor PC aberto

Dell negou backdoors de construção em seu kit após a descoberta de um pesquisador de segurança de um inseguro atualização assistente app.

Tom Forbes alega que a Dell Serviço app Detector Tag * é tão inseguro que ele cria um backdoor em máquinas está instalada em cima.

Mais especificamente, a Forbes afirma que o app cárie um risco de execução remota de código (RCE), que, se for verdade, criar um meio de hackers e ciberespiões de contrabando de malware em sistemas vulneráveis.

Um invasor pode acionar o programa para baixar e executar um arquivo arbitrário, sem qualquer interação do usuário, de acordo com a Forbes.

"O pequeno programa 'Dell Serviço Tag Detector' que empurrar as pessoas para fazer o download no site da Dell.com faz muito mais do que apenas detectar etiquetas de serviço - que dá acesso Dell para toda a sua máquina, o que lhes permite fazer o download e instalar o software e coletar informações do sistema sem que você saiba ", disse a Forbes El Reg.

"A verificação de segurança foi praticamente" se 'Dell' está no referrer então fazer o que quiserem ", assim que um hacker poderia desencadear um pedido de" hacker.com/dell "e que iria ser verificada, o que significa que pode acionar para se baixar e executar qualquer executável a partir de qualquer endereço da Web sem solicitações, bem como a recolha de informações sobre o sistema e fazer upload de arquivos do computador vítimas ", acrescentou.

Forbes 'detalhada write up técnica da questão pode ser encontrada aqui .

Em resposta a consultas de El Reg Dell divulgou um comunicado negando que alguma vez tenha backdoors em PCs que fornece instalado.

Dell tem um compromisso de longa data para projetar, construir e enviar produtos seguros e rapidamente tratar de casos em que as questões são descobertos. Uma das principais prioridades Dell é a proteção dos dados dos clientes e informações, o que se reflete em nosso programa de garantia de privacidade e informação robusta e abrangente e políticas. Levamos muito a sério todas as questões que possam afetar a integridade dos nossos produtos ou a segurança do cliente e privacidade.

Devemos tomar consciência de uma possível vulnerabilidade em qualquer um dos produtos da Dell vamos comunicar com os nossos clientes de forma transparente como fizemos no passado.

A Dell não trabalhar com qualquer governo que comprometer nossos produtos para torná-los vulneráveis ​​para explorar, nomeadamente através dos implantes de software "ou os chamados 'backdoors.

O comunicado não aborda a especificar as questões de segurança que Forbes levanta sobre Dell Serviço Tag Detector. Nós já solicitou esclarecimentos.

Preocupações Forbes 'manter a credibilidade, apesar de um longo caminho de ser provada. Outros pesquisadores de segurança estão a tomar as suas descobertas a sério.

Este é "mais uma razão pela qual eu desinstalar software tipicamente fundo persistente como este", Sean Sullivan, um conselheiro de segurança da F-Secure disse El Reg. "A pergunta restante eu tenho ... quantos outros fornecedores usam software similar eo que controles que eles têm no lugar?"

Rootnote

* Dell Serviço Tag Detector é utilizado para preenchimento automático de entrada e mostrar apostadores tag serviço os drivers relevantes para a sua máquina. Parece que o app é pré-instalado, mas estamos de duplo controlo sobre este ponto.