CVE-2026-75940: Kritisk fejl i Lenovo Health-app

Sårbarheden findes i Lenovo Health, en Android-app til sundhedsdata, der udelukkende distribueres på det kinesiske marked. Fejlen er en hårdkodet adgangsoplysning, hvilket betyder at appen indeholder en fast indbygget adgangskode eller nøgle i sin programkode, som er ens for alle installationer. En angriber, der finder denne nøgle, kan bruge den til at tilgå sundhedsrelaterede data fra appens brugere uden at kende den enkelte brugers login.

Sårbarheden rammer brugere af Lenovo Health-appen på Android, som kun forhandles i Kina. Det er relevant for danske virksomheder, der har medarbejdere, datterselskaber eller samarbejdspartnere i Kina, og som bruger Lenovo-telefoner med appen installeret, for eksempel som led i et sundheds- eller wellnessprogram. Der findes ingen konkret versionsangivelse i NVD-data, så alle udgaver af appen bør betragtes som potentielt ramt, indtil Lenovo oplyser andet.

En angriber kan uden login og uden brugerhandling få adgang til følsomme sundhedsoplysninger som puls, søvn, aktivitet eller andre målte helbredsdata. For en dansk virksomhed med kontor eller ansatte i Kina kan det betyde, at medarbejderes personfølsomme sundhedsdata lækkes, hvilket kan udløse en GDPR-vurdering, hvis data er koblet til danske ansatte eller behandles af en dansk dataansvarlig.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan ske over netværket, kræver ikke login og kræver ingen handling fra brugeren. Konsekvensen er høj for fortrolighed og integritet, altså data kan læses og potentielt ændres, mens tilgængeligheden af appen ikke påvirkes. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsestidspunktet.

Da appen kun distribueres i Kina, er første skridt at afklare, om jeres organisation overhovedet bruger den.

1. Undersøg om Lenovo Health er installeret på firmatelefoner, især enheder brugt af medarbejdere i eller med tilknytning til Kina.
2. Fjern appen eller bloker den via jeres MDM-løsning (mobile device management), indtil Lenovo har udsendt en rettet version.
3. Kontakt Lenovo eller tjek Lenovos supportside for en opdateret version, der lukker hullet.
4. Vurder om sundhedsdata fra berørte medarbejdere kan være kompromitteret, og dokumentér vurderingen.
5. Hvis der er behandlet personoplysninger om danske medarbejdere, tag stilling til om hændelsen skal vurderes efter GDPR.
6. Få ekstern hjælp, hvis I ikke selv kan afklare appens udbredelse i organisationen eller vurdere en eventuel dataeksponering.