在内部安全评估期间，在联想软件修复中发现潜在漏洞，在安装过程中可能允许本地已认证用户执行任意文件写入操作。

在 Lenovo Software Fix 中发现了一个潜在的漏洞 (CVE-2026-4135)。在安装过程中，该漏洞可能允许经过身份验证的本地用户提升权限并执行任意文件写入操作。这可能导致关键系统文件被修改或替换，从而可能损害数据的机密性和完整性。根据 CVSS 的初步评分，风险等级为 6.6，属于中等风险。成功利用此漏洞可能允许攻击者控制受影响的系统，尤其是在写入的文件是操作系统或应用程序的关键组件的情况下。未发现 KEV (Kernel Exploit Vulnerability) 表明该漏洞的利用并非易事，需要本地身份验证。

Systems with Lenovo Software Fix installed, particularly those where user accounts have elevated privileges or are part of administrative groups, are at risk. Shared hosting environments or systems with multiple users accessing the same installation package are also more vulnerable.

• windows / supply-chain:

Get-Process -Name LenovoSoftwareFix | Select-Object -ExpandProperty Path

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*LenovoSoftwareFix*'} | Select-Object TaskName, State

• windows / supply-chain: Monitor Windows Event Logs for suspicious installation events related to Lenovo Software Fix, specifically looking for errors or unexpected file write operations. • windows / supply-chain: Check Autoruns for any unusual entries related to Lenovo Software Fix that might indicate persistence mechanisms.

1. 2026-04-15Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-04-15
3. EPSS 更新日期2026-04-23

Lenovo 已发布 Software Fix 7.5.5.19 版本中的修复程序以解决此漏洞。我们强烈建议所有用户尽快更新到此版本或更高版本。在应用更新之前，务必对整个系统进行备份，以减轻更新过程中可能出现的问题。此外，请审查文件权限和安全策略，以确保只有授权用户才能访问关键系统文件。监控系统日志中与 Software Fix 安装相关的可疑活动也有助于检测和防止潜在攻击。