またもやセキュリティ違反：Lenovo Service Engine

「スーパーフィッシュ」がまだ記憶に新しいのに、またやってくれました。

Lenovo が「LSE（Lenovo Service Engine）」というソフトを組み込んでいた、
これが入っているとシステムデータが Lenovo のサーバーに送信されたり、
「One Key Optimizer」というソフトがインストールされる。

LSE が攻撃者に利用されるとバッファーオーバーフローなどを仕掛けられる可能性がある。

Lenovo のサイトには次のように書かれています。
（ノートブック用 LENOVO SERVICE ENGINE (LSE) BIOS）
-------------------------------------------------
概要: Lenovo Service Engine (以下、”LSE”と表記) に脆弱性が見つかりました。レノボは Windows 7, 8, 8.1およびWindows 10 を搭載したノートブックで、LSE を無効化する BIOSアップデートと、関係するサービスやファイルを削除するユーティリティーをリリースしました。以下のリストにLSEを搭載したノートブックを記します。

説明:
Lenovo Service Engine (LSE) は一部の Lenovo ノートブックの BIOS に組み込まれた、OneKey Optimizer (http://support.lenovo.com/jp/ja/downloads/ds101321) というソフトウェアのダウンロードに使用されるユーティリティーです。このユーティリティーは個人情報と関係ないシステムデータを自動的にレノボの専用サーバーに送信します。(データの詳細は“その他の情報および引用”を参照してください。)
レノボ、Microsoft社および独立研究者は、バッファーオーバーフロー攻撃やレノボ テストサーバー接続など、このユーティリティーが攻撃者に悪用される方法を発見しました。
-------------------------------------------------

対象となるモデルは次のとおり（※は日本で販売実績のあるモデル）
　　Flex 2 Pro-15/Edge 15 (Broadwell)
　　Flex 2 Pro-15/Edge 15 (Haswell)
　　Flex 3-1470/1570
　　Flex 3 (1120) ※
　　G40-80/ G50 (G50-80)※ /G50-80 Touch/V3000
　　S21e (S21e-20) ※
　　S41-70/U40-70
　　S435/M40-35
　　YOGA 3 (1470) ※
　　YOGA 3 (1170) ※
　　Y40-80
　　Z41-70/ Z51 (Z51-70) ※
　　Z70-80 / G70-80

該当するモデルをお使いの場合は、まず ノートブック用 LENOVO SERVICE ENGINE (LSE) BIOS を参照してください。

必要なら LSE ディセーブラーツール（disabler program、LSE を無効にするツール）をダウンロードしてインストール、
あるいは BIOS を最新バージョンにアップデートしてください。

個人情報とは関係のないシステム情報を自動的に取得しようとする
（Lenovo の専用サーバーに送信しようとする）ためにこのようなことになります。

Windows 10 でも多くの情報がマイクロソフトに送信されます。

情報取得の必要性も分からないではないですが、
危険と隣り合わせであることを認識してほしいものです。