![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Intel bietet zum Tuning seiner CPUs das kostenlose Intel Extreme Tuning Utility (XTU) an. Sicherheitstechnisch ist das Tool aber l\u00f6chrig wie ein Schweizer K\u00e4se und man sollte die Finger davon lassen. Hier ein kurzer Blick unter die Haube, was da alles kaputt ist. <\/p>\n
<\/p>\n
Das Intel\u00ae Extreme Tuning Utility (Intel\u00ae XTU) steht hier f\u00fcr Windows 7 und Windows 10 (64 Bit) zum kostenlosen Download bereit. Die knapp 30 MByte gro\u00dfe Setup-Dateien richtet eine englischsprachige Fassung des Tools auf dem System ein. Der Hersteller schreibt zum Tool:<\/p>\n
\nIntel XTU ist eine einfache Windows-basierte Performance-Tuning-Software f\u00fcr Anf\u00e4nger und erfahrene Enthusiasten zum \u00dcbertakten, \u00dcberwachen und Stressen eines Systems. Die Softwareschnittstelle bietet eine Reihe von robusten Funktionen, die in den meisten Enthusiastenplattformen \u00fcblich sind, sowie spezielle neue Funktionen f\u00fcr neue Intel\u00ae Anwendungsprozessoren und Intel\u00ae-Motherboards.<\/p>\n<\/blockquote>\n
Auf dieser Intel-Seite sowie hier<\/a> hat Intel noch einiges rund um das XTU zusammen gestellt. Ein englischsprachiger Artikel, der sich mit dem Tool befasst, ist bei notebookcheck.net erschienen<\/a>. Klingt wie der Stein der Weisen. <\/p>\n
Sicherheitsrisiko Intel Extreme Tuning Utility (XTU)?<\/h2>\n
Wer nun meint, dieses Tool unbedingt auf seinem System installieren und einsetzen zu m\u00fcssen, sollte sich erst einmal folgenden Text zu Gem\u00fcte f\u00fchren. Auf seclists.org bin ich auf diesem Eintrag<\/a> von Ende September 2018 gesto\u00dfen. Stefan Kanthak hat sich das Tool XTU-Setup.exe, <\/em>in der Version 6.4.1.23 (ver\u00f6ffentlicht am 18. Mai 2018) vorgenommen und einige unsch\u00f6ne Dinge dokumentiert. <\/p>\n
Schwachstelle #1<\/h3>\n<\/p>\n
Das ausf\u00fchrbare Installationsprogramm XTU-Setup.exe<\/em> enth\u00e4lt mindestens zwei veraltete und nicht unterst\u00fctzte Laufzeitkomponenten (Runtime) von Microsoft. Bei einer Laufzeitkomponente gibt es bekannte und seit langem reparierte Schwachstellen.<\/p>\n
\n
- Komponente #1: Microsoft SQL Server Compact 3.5 SP2 ENU von 2010; diese Komponente hat ihr End-of-Live seit dem 10. April 2018 erreicht (das wird nicht einmal mehr auf den Microsoft-Seiten gefunden). <\/li>\n
- Komponente #2: Microsoft Visual C++ 2005 Runtime 8.0.50727.762; auch die Visual C++ 2005 Laufzeitumgebung hat das End of Life seit dem 12. April 2016 erreicht (ist lediglich seit zwei Jahren abgelaufen.<\/li>\n<\/ul>\n
Das Tool wird also bereits bei der Installation mit zwei aus dem Support gefallenen Microsoft-Produkten ausgeliefert. Die letzte Visual C++ 2005 Runtime ist die Version 8.0.50727.4940, die am 12. April 2011 freigegeben und am 14.6.2011 aktualisiert wurde (ist sieben Jahre her).<\/p>\n
Und die 'Krone' setzt der Installer dem ganzen auf, indem XTU-Setup.exe <\/em>versucht, die l\u00e4ngst aus dem Support gefallen und unsichere Microsoft Visual C++ 2005 Runtime 8.0.50727.762 zu installieren, auch wenn eine neuere Version der Laufzeitumgebung vorhanden ist. <\/p>\n
Schwachstelle #2<\/h3>\n
Das in XTU-Setup.exe<\/em> enthaltene Paket vcredist_x86.exe <\/em>wurde mit dem Wix Toolset 3.6 erstellt. Alles, was mit diesem Toolset erstellt wurde, ist aber unsicher, da das Toolset Sicherheitsl\u00fccken aufweist (siehe hier<\/a> und hier<\/a>). <\/p>\n
Codeausf\u00fchrung mit Privilege Escalation Schwachstelle<\/h2>\n
Die oben erw\u00e4hnten Schwachstellen erm\u00f6glichen einem Angreifer beliebigen Code unter dem Kontext des Benutzerkontos auszuf\u00fchren und dass \u00fcber Schwachstellen die Privilegien auszuweiten. Kanthak beschreibt auf seclists.org<\/a> ein Proof-of-Concept. <\/p>\n
Zudem erm\u00f6glicht der Installer einen Denial of Service-Angriff (ohne dass dies Administrator-Privilegien erfordert). Das Setup bleibt bei der Installation bei ca. 75% h\u00e4ngen. <\/p>\n
Kommunikation mit Intel und Sicherheitswarnung<\/h2>\n
Kanthak hat die Schwachstelle erstmals am 4. September 2017 an Intel gemeldet, ohne irgend eine Reaktion zu erhalten. Am 22. M\u00e4rz 2018 wurde erneut ein Bericht \u00fcber die Schwachstellen an Intel gesendet. <\/p>\n
Intel hat dann am 18. Mai 2018 den Installer ohne weitere Hinweise aktualisiert. Nat\u00fcrlich war diese Installerversion ebenfalls mit Sicherheitsl\u00fccken versehen. Daher wurde am 5. Juni 2018 ein neuer Report mit Hinweisen auf die Schwachstellen an Intel geschickt. <\/p>\n
War es bis dahin lediglich unsch\u00f6n, wird es nun gruselig. Am 11. September 2018 ver\u00f6ffentlicht Intel ein eigenes Security Advisory<\/a>, wo vor den Escalation of Privilege- und Denial of Service-Schwachstellen gewarnt wird. Die Schwachstellen (CVE-2018-12150, CVE-2018-12149, CVE-2018-12151) werden mit der Sicherheitsauswirkung Hoch bewertet. <\/p>\n
Betroffen sind, laut Intel Dokument die Intel\u00ae Extreme Tuning Utility vor der Version 6.4.1.21. Intel empfiehlt das Update auf die Version 6.4.1.23 oder h\u00f6her. Daher hat Kanthak auf seclists.org<\/a> ein eigenes Advisory publiziert. Dieses warnt wegen der oben benannten Schwachstellen genau vor der von Intel empfohlenen Version 6.4.1.23. An dieser Stelle kann man nur den Ratschlag geben: Lasst die Finger von diesen Intel Tools, denn diese Schwachstellen ziehen sich seit Jahren durch diese Produkte. <\/p>\n","protected":false},"excerpt":{"rendered":"
Intel bietet zum Tuning seiner CPUs das kostenlose Intel Extreme Tuning Utility (XTU) an. Sicherheitstechnisch ist das Tool aber l\u00f6chrig wie ein Schweizer K\u00e4se und man sollte die Finger davon lassen. Hier ein kurzer Blick unter die Haube, was da … Weiterlesen