数百万PC和服务器受Intel管理引擎漏洞影响

桂林seo半杯酒博客 2017-11-22 19:46:52

这些bug可被用于提取信息，甚至可实现rootkit注入。

E安全11月22日讯英特尔公司承认，根据外部安全专家的发现，其管理引擎（简称ME）、服务器平台服务（简称SPS）以及可信执行引擎（简称TXE）易受到多项高危安全漏洞的影响。

哪些处理器芯片组受影响？

这些固件级别的bug允许登录管理员以及恶意或劫持性高权限进程运行操作系统下的代码，从而在完全不被其他用户及管理员察觉的前提下实施窥探或者干涉。网络管理员或者其他伪装为管理员的人士亦可利用这些漏洞以远程方式对设备进行间谍软件感染或者注入rootkit。

与此同时，已登录用户、恶意或被感染应用程序亦可利用这些安全漏洞从计算机内存当中提取机密及受保护信息，从而为恶意攻击者提供敏感数据——包括密码或者密码密钥，从而屏蔽更多其它攻击活动。这一消息对于服务器以及其它共享型设备尤其令人担忧。简而言之，目前正有大量英特尔芯片秘密运行恶意代码，并被攻击者及恶意软件用于悄悄危害计算机用户。受此安全缺陷影响的处理器芯片组具体包括：

第六、第七与第八代英特尔酷睿处理器

英特尔至强E3-1200 v5与v6处理器

英特尔至强Scalable处理器

英特尔至强W处理器

英特尔凌动C3000处理器

Apollo Lake英特尔凌动E3900系列

Apollo Lake英特尔奔腾处理器

赛扬N与J系列处理器

英特尔管理引擎的组件出问题

作为本次新闻的核心，英特尔公司的管理引擎可以算是您计算机设备中的另一套计算机。芯片巨头在其vPro功能套件的核心部分提供大量恶意协处理器，且其广泛存在于各类芯片系列当中。在媒体将其抨击为“后门”之后，英特尔方面强烈抵制这样的表述，英国Positive Technologies公司将在下个月正式公布此管理引擎的全新利用方法。

管理引擎基本上就是一套不进行记录的黑匣子。其拥有自己的CPU与操作系统（例如：最新一代配置为x86 Quark核心加MINIX），并对设备进行全面控制，能够在已安装的操作系统以及任何管理程序或反病毒工具的监控之外肆意运行。

其设计目标在于帮助网络管理员以远程或本地方式登录至服务器或工作站当中，从而修复任何错误、重新安装操作系统、接管桌面控制权等等。此项功能非常强大，黑客甚至能够利用其控制无法正常启动的目标计算机。

管理引擎运行闭源远程管理软件以执行上述操作，而且该代码中所包含的bug则与任何其它软件漏洞一样，将允许黑客获得令人难以置信的设备控制能力。该管理引擎可能被用于安装rootkit以及其它形式的间谍软件，顺利躲过用户的追查、窃取信息甚至篡改文件。

服务器平台服务基于管理引擎，允许用户以远程方式通过网络对采用英特尔芯片的服务器进行配置。可信执行引擎为英特尔公司的硬件真实性技术。在此之前，同样运行在管理引擎上的AMT工具套件即可利用空白凭证字符串绕过验证。

英特尔方面已审核内部源代码

今天，英特尔方面还公布了更多固件问题。该公司透露称，其已经对内部源代码进行了审核，并“已经确定了一些可能令受影响平台面临风险的安全漏洞”。

针对外部研究人员发现的问题，英特尔已经对自身英特尔管理引擎（简称ME）、英特尔服务器平台服务（简称SPS）以及英特尔可信执行引擎（简称TXE）进行了深入而全面的安全审查。

非高危漏洞值得关注

根据英特尔方面的介绍，这些漏泄可能允许攻击者冒充管理引擎、服务器平台服务或者可信执行引擎机制，从而令本地安全功能失效。在这种情况下，“任意代码的加载与执行都将无法被用户以及操作系统所发现”；这可能令受影响系统陷入崩溃。

但这些漏洞的严重程度并不是特别高，这主要是由于其中大部分要求攻击者拥有本地访问能力（无论是作为管理员抑或较低权限用户），而其余漏洞则要求攻击者作为经过身份验证的系统管理员以访问这些管理功能。

不过根据谷歌公司安全研究员Matthew Garrett（马修·加勒特）所言，之前提到的AMT漏泄如果未经修复，则允许以远程方式利用。

换言之，如果某一尚未对AMT漏洞进行修复的服务器或者其它系统遭遇攻击，那么此次发现的新漏洞将允许任何外部人士通过网络进行登录，同时在管理引擎协处理器的帮助下执行恶意代码。

Garrett在推文中解释称，“管理引擎安全漏洞能够提供等同于AMT漏洞的一切，而且远不止于此。如果有人突破了管理引擎的内核，即可访问管理引擎上的一切，其中也包括AMT乃至PTT。”他解释称，“PTT是英特尔的‘在管理引擎软件中运行TPM’功能。如果用户使用PTT，而攻击者入侵了您的管理引擎，那么TPM将不再安全可靠。这可能意味着用户的Bitlocker密钥遭到破解，同时也意味着您的远程认证证书也全部作废。”

Garrett指出，如果利用这些漏洞通过管理引擎安装并解释未经签名的数据，则攻击者将能够在每一次管理引擎重启后再次触发恶意软件并实现感染。一旦发生这种情况，解决问题的惟一方法只有手动刷新硬件，而真到了这一步，直接购买新硬件反而可能更具成本优势。

受影响的固件及相关漏洞

英特尔公司指出，采用管理引擎固件版本11.0、11.5、11.6、11.7、11.10以及11.20，服务器平台服务固件版本4.0以及可信执行引擎版本3.0的系统会受到影响。