Lenovo Fingerprint Manager和Lenovo Touch Fingerprint Software越权漏洞 分类:Y系列 问题:漏洞与防护 Lenovo 安全公告：LEN-4282 潜在影响：越权漏洞 严重性：中 摘要： Lenovo Fingerprint Manger 和 Lenovo Touch Fingerprint Software 存在本地越权漏洞。无法通过远程方式利用该漏洞。登录到 PC 的本地用户可能会使用管理员权限运行可执行文件，从而提升其权限。 描述： Lenovo Fingerprint Manager 和 Lenovo Touch Fingerprint Software 存在一个已知问题：恶意用户可能会利用上述应用程序中的服务和文件内不安全和错误的访问控制列表，来绕过本地检查。 解决方案: 应采取哪些措施进行自我保护： 您可以通过多种方式进行自我保护。Lenovo 建议您采取以下某个步骤： 自 2016 年 3 月 18 日开始，运行 Lenovo System Update 并安装推荐的 Fingerprint Manager 或 Lenovo Touch Fingerprint Software 更新。 请确保您的计算机已安装上述软件的最新版本。 可解决该问题的最低 Fingerprint Manager 版本是 8.01.57 或更高版本。您可点击此处上找到上述软件的最新版本。 可解决该问题的 Lenovo Touch Fingerprint Software 最低版本是 1.00.08 或更高版本。您可点击此处上找到上述软件的最新版本。 此外，您还可以按照以下步骤卸载该软件： 1、打开“控制面板”； 2、单击“程序”； 3、单击“卸载程序”； 4、在已安装程序列表中找到“Fingerprint Manager”或“Lenovo Touch Fingerprint Software”，然后单击“卸载”按钮。 产品影响： 以下产品可能安装了 Fingerprint Manager： ThinkPad L560 ThinkPad P40 Yoga ThinkPad T440、T440p、T440s、T450、T450s、T460、T540p、T550 和 T560 ThinkPad W540、W541、W550s ThinkPad X1 Carbon（机器类型：20A7 和 20A8）、X1 Carbon（机器类型：20BS 和 20BT） ThinkPad X240、X240s、X250 和 X260 ThinkPad Yoga 14（20FY）和 Yoga 460 ThinkCentre M73、M73z、M78、M79、M83、M93、M93p 和 M93z ThinkStation E32、P300、P500、P700 和 P900 要确定您是否已受到影响，请打开“控制面板”并转到“添加/删除程序”。如果您运行的是早于 8.01.57 的版本，请采用“缓解策略”部分中的步骤，更新到 Fingerprint Manager 的最新版本。 以下产品可能安装了 Lenovo Touch Fingerprint Software： ThinkPad P50 和 P70 ThinkPad T460p 和 T460s ThinkPad X1 Carbon（机器类型：20FB 和 20FC）和 X1 Yoga ThinkPad Yoga 260 要确定您是否已受到影响，请打开“控制面板”并转到“添加/删除程序”。如果您运行的是早于 1.00.08 的版本，请采用“缓解策略”部分中的步骤，更新到 Fingerprint Manager 的最新版本。 其他信息和参考资料： CVE ID：CVE-2016-2393 修订历史： 版本 日期 描述 1.0 03/22/2016 初始版本
Lenovo Fingerprint Manager和Lenovo Touch Fingerprint Software-联想乐享知识库
⚡ 核心结论
本文来源联想官方，解答关于 Lenovo Fingerprint Manager和Lenovo Touch Fingerprint Software越权漏洞 的常见问题，包括：Lenovo Fingerprint Manager 存在越权漏洞，本地用户可能提升权限，怎么办、ThinkPad T450 和 ThinkPad X1 Carbon（20A7/20A8）安装的Lenovo Fingerprint Manager为什么存在本地提权风险等。
内容来源：联想官方
常见问题解答
Lenovo Fingerprint Manager 存在越权漏洞，本地用户可能提升权限，怎么办
该漏洞源于Lenovo Fingerprint Manager（版本低于8.01.57）中服务与文件的访问控制列表（ACL）配置不安全，导致已登录的本地用户可绕过权限检查，以管理员身份运行恶意可执行文件。解决方法：立即运行Lenovo System Update（自2016年3月18日起支持），安装Fingerprint Manager最新版（≥8.01.57）；或手动卸载：打开控制面板→程序→卸载程序→找到并卸载‘Fingerprint Manager’。注意：此漏洞无法远程利用，但若设备存在多用户环境且启用了指纹登录，建议优先更新而非卸载。
ThinkPad T450 和 ThinkPad X1 Carbon（20A7/20A8）安装的Lenovo Fingerprint Manager为什么存在本地提权风险
因为这些机型预装的Lenovo Fingerprint Manager旧版本（低于8.01.57）存在访问控制缺陷：其后台服务和相关文件未正确设置Windows访问控制列表（ACL），导致已登录的本地用户可篡改或调用高权限组件，从而绕过身份验证实现权限提升。该漏洞仅限本地利用，不涉及网络远程攻击。Lenovo已通过安全公告LEN-4282确认，并要求用户升级至8.01.57及以上版本。受影响用户应通过Lenovo System Update完成更新，或从官网获取对应新版软件。