Intel обнаружила критические уязвимости в Management Engine, ставящие под угрозу миллионы машин

Инженеры компании Intel сообщили об устранении сразу нескольких серьезных уязвимостей в продуктах Intel Management Engine (ME), Intel Server Platform Services (SPS) и Intel Trusted Execution Engine (TXE). По сути, обнаруженные баги позволяют атакующему устанавливать руткиты на уязвимые ПК и провоцировать отказ в их работе, а также извлекать информацию, обрабатываемую процессором.

Хотя для эксплуатации найденных проблем чаще всего нужен локальный доступ (и лучше всего в качестве администратора или привилегированного пользователя), это не слишком помогает снизить потенциальную опасность от обнаруженных багов.

Стоит сказать, что ИБ-специалисты нередко называют бэкдором один из проблемных компонентов, Intel Management Engine (ME), который позволяет устанавливать удаленное соединение с ПК посредством Intel Active Management Technology (AMT).

Напомню, что Intel Management Engine — это закрытая технология, которая представляет собой интегрированный в микросхему Platform Controller Hub (PCH) микроконтроллер с набором встроенных периферийных устройств. Именно через PCH проходит почти все общение процессора с внешними устройствами, то есть Intel ME имеет доступ практически ко всем данным на компьютере и возможность исполнения стороннего кода, что в теории позволяет полностью скомпрометировать платформу посредством ME.

Intel ME интересует и беспокоит специалистов уже давно, но в последнее время их интерес еще возрос. Так, одной из причин этого стала уязвимость, обнаруженная весной 2017 года, а летом стало известно, что технологию ME для обхода файрволов эксплуатируют хакеры. Также интерес ИБ-специалистов подогрел недавний переход данной подсистемы на новую аппаратную (x86) и программную (доработанный MINIX в качестве операционной системы) архитектуры. Так, эксперты Positive Technologies, представившие в конце лета способ частичного обхода ME, объясняли, что применение платформы x86 позволяет использовать всю мощь средств анализа бинарного кода, что ранее было затруднительно, так как до 11-й версии использовалось ядро с малораспространенной системой команд — ARC.

Теперь инженеры Intel сообщили о восьми уязвимостях и выпустили соответствующие патчи. Эти исправления не будут доступны широкой публике, они предназначены для вендоров чипсетов и материнских плат, которые должны будут интегрировать «заплатки» в свои продукты, представив патчи для пользователей (к примеру, компания Lenovo уже подготовила обновления). Уязвимости были обнаружены в составе:

• ME версии 11.0/11.5/11.6/11.7/11.10/11.20;
• SPS версии 4.0;
• TXE версии 3.0.

По данным Intel, найденные уязвимости представляют опасность для:

• 6, 7 и 8 поколений процессоров Intel® Core™;
• процессоров Intel® Xeon® E3-1200 v5 и v6;
• процессоров Intel® Xeon® линейки Scalable;
• процессоров Intel® Xeon® линейки W;
• процессоров Intel® Atom® линейки C3000;
• процессоров Apollo Lake Intel® Atom серии E3900;
• Apollo Lake Intel® Pentium™;
• процессоров Celeron™ серий N и J.

Представители Intel подготовили специальную утилиту для Windows и Linux, при помощи которой пользователи смогут проверить свои компьютеры на предмет уязвимостей.

Наиболее серьезным из всех найденных багов является уязвимость CVE-2017-5705, обнаруженная специалистами Positive Technologies в составе ME. Уязвимость допускает локальное выполнение произвольного кода.

Также технология ME оказалась подвержена нескольким проблемам, связанным с переполнением буфера, которые позволяют осуществить эскалацию привилегий (CVE-2017-5708), локально выполнить произвольный код (CVE-2017-5711), а также выполнить произвольный код удаленно (CVE-2017-5712). Баги получили от 6,7 до 8,2 баллов по шкале оценки уязвимостей CVSSv3.

Ядро Intel SPS, в свою очередь, тоже может быть использовано для локального выполнения произвольного кода (CVE-2017-5706), а также для доступа к привилегированному контенту (CVE-2017-5709).

В компоненте TXE обнаружили уязвимости, допускающие повышение привилегий (CVE-2017-5710) и локальное выполнение произвольного кода (CVE-2017-5707).

Хотя Intel пока не раскрывает всех подробностей о данных проблемах, многие эксперты не на шутку обеспокоены происходящим. К примеру, известный ИБ-специалист Мэттью Гаррет (Matthew Garrett) поделился мыслями о возможных последствиях у тебя в твиттере, и выводы, к которым он пришел, крайне далеки от позитивных.

Источник