Важное обновление встроенного ПО Intel® Management Engine (Intel-SA-00086)

Уязвимость Intel® Management Engine (Intel® ME 6.x/7.x/8.x/9.x/10.x/11.x), Intel® Trusted Execution Engine (Intel® TXE 3.0) и Intel® Server Platform Services (Intel® SPS 4.0) (Intel-SA-00086)

В ответ на проблемы, идентифицированные сторонними исследователями, корпорация Intel выполнила всесторонний анализ безопасности для улучшения надежности встроенного ПО:

• Intel® Management Engine
• Механизм доверенного исполнения Intel®
• Intel® Server Platform Services (SPS)

Корпорация Intel идентифицировала уязвимости для системы безопасности, которые могут потенциально повлиять на определенные ПК, серверы и платформы Интернета вещей.

Данной уязвимости подвержены системы, использующие встроенное ПО Intel ME 6.x-11.x, серверы, использующие встроенное ПО SPS версии 4.0, и системы, использующие TXE версии 3.0. Вы можете найти эти версии встроенного ПО у определенных процессоров:

• семейства Intel® Core™ 1-го, 2-го, 3-го 4-го, 5-го, 6-го, 7-го и 8-го поколения
• Семейства процессоров Intel® Xeon® E3-1200 v5 и v6
• Семейство масштабируемых процессоров Intel® Xeon® Scalable
• Процессор Intel® Xeon® W
• Семейство процессоров Intel Atom® C3000
• Процессоры Apollo Lake Intel Atom® серии E3900
• Процессоры Apollo Lake Intel® Pentium®
• Процессоры Intel® Pentium® серии G
• Процессоры Intel® Celeron® серий G, N и J

Для определения воздействия идентифицированной уязвимости на вашу систему загрузите и запустите средство определения версий Intel CSME Version Detection по следующим ссылкам.Раздел часто задаваемых вопросовДоступные ресурсы

Часто задаваемые вопросы:

Обратитесь к производителю вашей системы или системной платы за информацией о планах в отношении обновлений, доступных для конечных пользователей.

Некоторые производители предоставили Intel прямые ссылки, созданные для их клиентов для получения дополнительной информации и загрузки доступных обновлений программного обеспечения (см. список далее).

Корпорация Intel не может предоставить универсальное обновление из-за настроек встроенного ПО программы управления, которые выполнены производителями систем и системных плат.

В: Моя система отображается в инструменте обнаружения версий Intel CSME Version Detection Tool как возможно уязвимая. Что мне делать?О: Статус возможной уязвимости обычно отображается, когда не установлен любой из следующих драйверов:

• Драйвер интерфейса Intel® Management Engine (Intel® MEI) 

или

• Драйвер интерфейса Intel® Trusted Execution Engine Interface (Intel® TXEI)

Обратитесь к производителю вашей системы или системной платы для получения соответствующих драйверов.

Если производитель аппаратных средств воспользуется рекомендуемыми корпорацией Intel механизмами защиты от записи, атакующему потребуется получить физический доступ к флэш-памяти встроенного ПО платформы для использования уязвимостей, идентифицированных в следующих рекомендациях:

• CVE-2017-5705
• CVE-2017-5706
• CVE-2017-5707
• CVE-2017-5708
• CVE-2017-5709
• CVE-2017-5710
• CVE-2017-5711

Атакующий получает физический доступ, вручную обновляя платформу, устанавливая образ вредоносного встроенного ПО с с помощью флэш-программатора, физически подключенного к флэш-памяти платформы. Защита от записи флэш-описателя является настройкой платформы, выполняемой на финальном этапе производства. Защита от записи флэш-описателя обеспечивает защиту настроек флэш-памяти от преднамеренного или непреднамеренного изменения после производства.

Если производитель аппаратных средств воспользуется рекомендуемыми корпорацией Intel механизмами защиты от записи флэш-описателя, атакующему нужен доступ к рабочему ядру (логический доступ, кольцо 0 операционной системы). Атакующему требуется данный доступ для использования идентифицированных уязвимостей посредством установки на платформе вредоносного образа встроенного ПО с помощью вредоносного драйвера платформы.

Уязвимость, идентифицированная в документе CVE-2017-5712, может быть использована удаленно через сеть в сочетании с действительными административными учетными данными для Intel® Management Engine. Уязвимость не может быть применима, если действительные административные учетные данные недоступны.

Если вам необходима дополнительная помощь, обратитесь в службу поддержки Intel для оформления онлайновой заявки на обслуживание.

Используемые источники:

• /intel.ru/content/www/ru/ru/support/articles/000025619/software.html