In Intels Plattformen/Chips (von Nehalem bis Kaby Lake) gibt es einen kritischen Bug in der Firmware (Intel Management Engine, IME), der einen Remote Exploit mit Elevation of Privilege-Angriffen ermöglicht. Das soll, laut Intel aber keine PCs von Endanwendern mit Intel-Chips betreffen, sondern eher Systeme mit Remote-Setup-Features.
Anzeige
Der Bug betrifft die Firmware der Intel-Technologien Intel® Active Management Technology (AMT), Intel® Standard Manageability (ISM), und Intel® Small Business Technology. Die Site semiaccurate.com hatte diesen Bug entdeckt und an Intel gemeldet – gleichzeitig wurde um einen Fix gebeten.
Nun scheint Intel reagiert zu haben. Seit dem 1. Mai 2017 gibt es das Advisory INTEL-SA-00075, welches als kritisch eingestuft wird. Intel gesteht darin die Elevation of Privilege in der Firmware der betreffenden Chips ein.
Intel Active Management Technology, Intel Small Business Technology, and Intel Standard Manageability Escalation of Privilege
Intel ID: INTEL-SA-00075
Product family: Intel® Active Management Technology, Intel® Small Business Technology, and Intel® Standard Manageability
Impact of vulnerability: Elevation of Privilege
Severity rating: CriticalOriginal release: May 01, 2017
Last revised: May 01, 2017
Dann gibt Intel an, dass eine Escalation of privilege-Sicherheitslücke in der Intel® Active Management Technology (AMT), Intel® Standard Manageability (ISM) und in der Intel® Small Business Technology Firmware existiert. Dies betrifft die Firmware-Versionen 6.x, 7.x, 8.x 9.x, 10.x, 11.0, 11.5 und 11.6. Dort kann ein Angreifer mit normalen Privilegien die Kontrolle über die Verwaltungsfunktionen der genannten Produkte übernehmen und mit erhöhten Rechten aktiv werden.
Die Schwachstelle existiert aber nicht auf Consumer-PCs mit Intel-Chips. Vielmehr muss das System ein 'Remote Setup' unterstützen. Es gibt wohl zwei Angriffsszenarien, über die Angreifer Erfolg haben können. Intel gibt diese folgendermaßen an:
Anzeige
- An unprivileged network attacker could gain system privileges to provisioned Intel manageability SKUs: Intel® Active Management Technology (AMT) and Intel® Standard Manageability (ISM).
- CVSSv3 9.8 Critical /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- An unprivileged local attacker could provision manageability features gaining unprivileged network or local system privileges on Intel manageability SKUs: Intel® Active Management Technology (AMT), Intel® Standard Manageability (ISM), and Intel® Small Business Technology (SBT).
- CVSSv3 8.4 High /AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Beide Angriffe erfolgen wohl über das Netzwerk und zielen auf die genannten Intel-Produkte. Im Security Advisory führt Intel weitere Details auf und bietet auch Firmware-Updates an, um die Lücke zu schließen. Ob ein System von der Schwachstelle betroffen ist, lässt sich mit den Hinweisen auf dieser Intel-Seite (Englisch) herausfinden. Ein Firmware-Update dürfte durch die OEMs bereitgestellt werden. Details entnehmt ihr dem Intel Security Advisory. Abschließende Frage: Irgend jemand von euch, der eine entsprechende Hardware in Firmenumgebungen im Einsatz hat?
Nachtrag: Ein ergänzender (englischsprachiger) Beitrag findet sich hier. Auch heise.de hat zwischenzeitlich diesen Artikel mit ein paar weitergehenden Informationen veröffentlicht.
Anzeige
Ich habe einen PC bei mir daheim im Einsatz mit dieser AMT bzw. vPro-Technologie (Q87-Chipsatz). Es ist mein Selbstbau-NAS-PC mit aktuell 11 TB Speicherplatz für Backups und Archivierung. Der steht aus Platzgründen oben auf dem Schrank und läuft daher ohne Maus, Tastatur und Bildschirm, nur gesteuert über das Netzwerkkabel. Die Möglichkeit der Fernwartung, selbst wenn das OS mal nicht starten will, ist genial und ich hatte mich deswegen absichtlich dafür entschieden, auch wenn es etwas teurer ist (man braucht mindestens eine Core i5 CPU). Ansonsten müsste ich im Störungsfall die Kiste erst vom Schrank herunterwuchten und das ganze Gedöns anschließen. Jetzt habe ich da eine Sicherheitslücke zu schließen.
Mein System ist nicht direkt von dem Sicherheitsleck betroffen, da mein Core i5 nicht vPro-fähig ist, mein BIOS/UEFI die Intel ME nicht unterstützt und ich auch keinen Intel Ethernet Controller habe. Jedoch habe ich die sogenannte Business-5MB-Firmware-Variante, die also theoretisch von dem Problem betroffen wäre.
Wer herausfinden möchte, was überhaupt vorhanden ist und was nicht, dem empfehle ich, sich HWiNFO über https://www.hwinfo.com/download.php herunterzuladen. Dort gibt es eine detaillierte Auflistung, welche Intel ME Version vorhanden ist, bzw. was unterstützt wird.
Um sich die betreffenden Informationen anzuschauen, darf im Startscreen von HWiNFO weder "Sensors only" noch"Summary only" ausgewählt sein. Nach dem Klick auf den "Run" Button ist das Fenster "Sensor Status" schließen, in dem anderen Fenster unter dem Computernamen der Punkt "Motherboard" zu expandieren und danach "Intel ME" auszuwählen.
Dort ist dann die installierte Firmware-Versionsnummer als "Intel ME Version" zu sehen, darunter ist dann "Full Network Manageability" und "Standard Network Manageability"zu finden. Wenn beide Werte auf "not capable" stehen, kann man erst einmal aufatmen.
Diese Sicherheitslücke ist nicht die erste ihrer Art, es gab schon vorher Sicherheitsprobleme mit der Intel ME.
Wenn Intel die Spezifikation und den gesamten Code offenlegen würde, dann wäre dies in meinen Augen die beste Alternative. Jedoch fürchte ich, dass dies nie geschehen wird, da Intel mit den auf der Intel ME basierenden Diensten nach wie vor Geld verdienen möchte und ein Offenlegen des Codes natürlich Konkurrenz aufkommen lassen würde.
Die Idee, einen Subprozessor in ein Computersystem einzubauen ist nicht neu, sondern gab es schon in den Neunziger Jahren. Generell bin ich dieser Idee nicht abgeneigt, wenn man als Benutzer dieses Feature selber kontrollieren könnte. Dass dann auch noch von außen unter Umgehung des Betriebssystems auf BIOS/UEFI und andere Teile des Systems zugegriffen werden kann, halte ich aber aus sicherheitsrelevanter Sicht für zu problematisch.