這些bug可被用于提取信息，甚至可實(shí)現(xiàn)rootkit注入。
E安全11月22日訊 英特爾公司承認(rèn)，根據(jù)外部安全專家的發(fā)現(xiàn)，其管理引擎（簡稱ME）、服務(wù)器平臺服務(wù)（簡稱SPS）以及可信執(zhí)行引擎（簡稱TXE）易受到多項(xiàng)高危安全漏洞的影響。
哪些處理器芯片組受影響？
這些固件級別的bug允許登錄管理員以及惡意或劫持性高權(quán)限進(jìn)程運(yùn)行操作系統(tǒng)下的代碼，從而在完全不被其他用戶及管理員察覺的前提下實(shí)施窺探或者干涉。網(wǎng)絡(luò)管理員或者其他偽裝為管理員的人士亦可利用這些漏洞以遠(yuǎn)程方式對設(shè)備進(jìn)行間諜軟件感染或者注入rootkit。
與此同時(shí)，已登錄用戶、惡意或被感染應(yīng)用程序亦可利用這些安全漏洞從計(jì)算機(jī)內(nèi)存當(dāng)中提取機(jī)密及受保護(hù)信息，從而為惡意攻擊者提供敏感數(shù)據(jù)——包括密碼或者密碼密鑰，從而屏蔽更多其它攻擊活動。這一消息對于服務(wù)器以及其它共享型設(shè)備尤其令人擔(dān)憂。簡而言之，目前正有大量英特爾芯片秘密運(yùn)行惡意代碼，并被攻擊者及惡意軟件用于悄悄危害計(jì)算機(jī)用戶。受此安全缺陷影響的處理器芯片組具體包括：
第六、第七與第八代英特爾酷睿處理器
英特爾至強(qiáng)E3-1200 v5與v6處理器
英特爾至強(qiáng)Scalable處理器
英特爾至強(qiáng)W處理器
英特爾凌動C3000處理器
Apollo Lake英特爾凌動E3900系列
Apollo Lake英特爾奔騰處理器
賽揚(yáng)N與J系列處理器
英特爾管理引擎的組件出問題
作為本次新聞的核心，英特爾公司的管理引擎可以算是您計(jì)算機(jī)設(shè)備中的另一套計(jì)算機(jī)。芯片巨頭在其vPro功能套件的核心部分提供大量惡意協(xié)處理器，且其廣泛存在于各類芯片系列當(dāng)中。在媒體將其抨擊為“后門”之后，英特爾方面強(qiáng)烈抵制這樣的表述，英國Positive Technologies公司將在下個月正式公布此管理引擎的全新利用方法。
管理引擎基本上就是一套不進(jìn)行記錄的黑匣子。其擁有自己的CPU與操作系統(tǒng)（例如：最新一代配置為x86 Quark核心加MINIX），并對設(shè)備進(jìn)行全面控制，能夠在已安裝的操作系統(tǒng)以及任何管理程序或反病毒工具的監(jiān)控之外肆意運(yùn)行。
其設(shè)計(jì)目標(biāo)在于幫助網(wǎng)絡(luò)管理員以遠(yuǎn)程或本地方式登錄至服務(wù)器或工作站當(dāng)中，從而修復(fù)任何錯誤、重新安裝操作系統(tǒng)、接管桌面控制權(quán)等等。此項(xiàng)功能非常強(qiáng)大，黑客甚至能夠利用其控制無法正常啟動的目標(biāo)計(jì)算機(jī)。
管理引擎運(yùn)行閉源遠(yuǎn)程管理軟件以執(zhí)行上述操作，而且該代碼中所包含的bug則與任何其它軟件漏洞一樣，將允許黑客獲得令人難以置信的設(shè)備控制能力。該管理引擎可能被用于安裝rootkit以及其它形式的間諜軟件，順利躲過用戶的追查、竊取信息甚至篡改文件。
服務(wù)器平臺服務(wù)基于管理引擎，允許用戶以遠(yuǎn)程方式通過網(wǎng)絡(luò)對采用英特爾芯片的服務(wù)器進(jìn)行配置?？尚艌?zhí)行引擎為英特爾公司的硬件真實(shí)性技術(shù)。在此之前，同樣運(yùn)行在管理引擎上的AMT工具套件即可利用空白憑證字符串繞過驗(yàn)證。
英特爾方面已審核內(nèi)部源代碼
今天，英特爾方面還公布了更多固件問題。該公司透露稱，其已經(jīng)對內(nèi)部源代碼進(jìn)行了審核，并“已經(jīng)確定了一些可能令受影響平臺面臨風(fēng)險(xiǎn)的安全漏洞”。
針對外部研究人員發(fā)現(xiàn)的問題，英特爾已經(jīng)對自身英特爾管理引擎（簡稱ME）、英特爾服務(wù)器平臺服務(wù)（簡稱SPS）以及英特爾可信執(zhí)行引擎（簡稱TXE）進(jìn)行了深入而全面的安全審查。
非高危漏洞值得關(guān)注
根據(jù)英特爾方面的介紹，這些漏泄可能允許攻擊者冒充管理引擎、服務(wù)器平臺服務(wù)或者可信執(zhí)行引擎機(jī)制，從而令本地安全功能失效。在這種情況下，“任意代碼的加載與執(zhí)行都將無法被用戶以及操作系統(tǒng)所發(fā)現(xiàn)”；這可能令受影響系統(tǒng)陷入崩潰。
但這些漏洞的嚴(yán)重程度并不是特別高，這主要是由于其中大部分要求攻擊者擁有本地訪問能力（無論是作為管理員抑或較低權(quán)限用戶），而其余漏洞則要求攻擊者作為經(jīng)過身份驗(yàn)證的系統(tǒng)管理員以訪問這些管理功能。
不過根據(jù)谷歌公司安全研究員Matthew Garrett（馬修·加勒特）所言，之前提到的AMT漏泄如果未經(jīng)修復(fù)，則允許以遠(yuǎn)程方式利用。
換言之，如果某一尚未對AMT漏洞進(jìn)行修復(fù)的服務(wù)器或者其它系統(tǒng)遭遇攻擊，那么此次發(fā)現(xiàn)的新漏洞將允許任何外部人士通過網(wǎng)絡(luò)進(jìn)行登錄，同時(shí)在管理引擎協(xié)處理器的幫助下執(zhí)行惡意代碼。
Garrett在推文中解釋稱，“管理引擎安全漏洞能夠提供等同于AMT漏洞的一切，而且遠(yuǎn)不止于此。如果有人突破了管理引擎的內(nèi)核，即可訪問管理引擎上的一切，其中也包括AMT乃至PTT。”他解釋稱，“PTT是英特爾的‘在管理引擎軟件中運(yùn)行TPM’功能。如果用戶使用PTT，而攻擊者入侵了您的管理引擎，那么TPM將不再安全可靠。 這可能意味著用戶的Bitlocker密鑰遭到破解，同時(shí)也意味著您的遠(yuǎn)程認(rèn)證證書也全部作廢。”
Garrett指出，如果利用這些漏洞通過管理引擎安裝并解釋未經(jīng)簽名的數(shù)據(jù)，則攻擊者將能夠在每一次管理引擎重啟后再次觸發(fā)惡意軟件并實(shí)現(xiàn)感染。一旦發(fā)生這種情況，解決問題的惟一方法只有手動刷新硬件，而真到了這一步，直接購買新硬件反而可能更具成本優(yōu)勢。
受影響的固件及相關(guān)漏洞
英特爾公司指出，采用管理引擎固件版本11.0、11.5、11.6、11.7、11.10以及11.20，服務(wù)器平臺服務(wù)固件版本4.0以及可信執(zhí)行引擎版本3.0的系統(tǒng)會受到影響。
相關(guān)漏洞CVE編號如下：
英特爾管理引擎固件 11.0.x.x/11.5.x.x/11.6.x.x/11.7.x.x/11.10.x.x/11.20.x.x
CVE-2017-5705:“英特爾管理引擎固件11.0/11.5/11.6/11.7/11.10/11.20版本內(nèi)存在的多項(xiàng)緩沖區(qū)溢出漏洞允許攻擊者以本地系統(tǒng)訪問方式執(zhí)行任意代碼。”已登陸的超級用戶或高權(quán)限程序可在隱藏的管理引擎之內(nèi)執(zhí)行代碼，且整個執(zhí)行流程較操作系統(tǒng)及任何其它軟件更為底層。
CVE-2017-5708:“英特爾管理引擎固件11.0/11.5/11.6/11.7/11.10/11.20版本內(nèi)核中的多項(xiàng)權(quán)限升級機(jī)制允許未授權(quán)進(jìn)程通過未指定向量訪問高權(quán)限內(nèi)容。”已登錄用戶或運(yùn)行中的應(yīng)用可能泄漏內(nèi)存中的機(jī)密信息。這一情況對共享系統(tǒng)而言尤為危險(xiǎn)。
CVE-2017-5711:“英特爾管理引擎固件8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20版本中的主動管理技術(shù)（簡稱AMT）存在多項(xiàng)緩沖區(qū)溢出漏洞，允許攻擊者以遠(yuǎn)程方式訪問系統(tǒng)以利用AMT執(zhí)行權(quán)限執(zhí)行任意代碼。”已登錄超級用戶或高權(quán)限程序，將可在AMT套件之內(nèi)執(zhí)行代碼，且整個執(zhí)行流程較操作系統(tǒng)及任何其它軟件更為底層。
CVE-2017-5712:“英特爾管理引擎固件8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20版本當(dāng)中主動管理技術(shù)（簡稱AMT）存在一項(xiàng)緩沖區(qū)溢出漏洞，允許攻擊者利用遠(yuǎn)程管理員身份訪問系統(tǒng)，從而利用AMT執(zhí)行權(quán)限執(zhí)行任意代碼。”具備目標(biāo)設(shè)備網(wǎng)絡(luò)訪問和能力、以及能夠作為管理員進(jìn)行登錄的人士將能夠在AMT套件內(nèi)執(zhí)行代碼。
英特爾管理引擎固件8.x/9.x/10.x
CVE-2017-5711:“英特爾管理引擎固件8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20版本中的主動管理技術(shù)（簡稱AMT）存在多項(xiàng)緩沖區(qū)溢出漏洞，允許攻擊者以本地方式訪問系統(tǒng)以利用AMT執(zhí)行權(quán)限執(zhí)行任意代碼。” 已登錄超級用戶或高權(quán)限程序，將可在AMT套件之內(nèi)執(zhí)行代碼，且整個執(zhí)行流程較操作系統(tǒng)及任何其它軟件更為底層。
CVE-2017-5712:“英特爾管理引擎固件8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20版本當(dāng)中主動管理技術(shù)（簡稱AMT）存在一項(xiàng)緩沖區(qū)溢出漏洞，允許攻擊者利用遠(yuǎn)程管理員身份訪問系統(tǒng)，從而利用AMT執(zhí)行權(quán)限執(zhí)行任意代碼。”具備目標(biāo)設(shè)備網(wǎng)絡(luò)訪問和能力、以及能夠作為管理員進(jìn)行登錄的人士將能夠在AMT套件內(nèi)執(zhí)行代碼。
服務(wù)器平臺服務(wù) 4.0.x.x
CVE-2017-5706:“英特爾服務(wù)器平臺服務(wù)固件4.0版本內(nèi)核當(dāng)中存在多項(xiàng)緩沖區(qū)溢出漏洞，允許攻擊者以本地方式訪問系統(tǒng)并執(zhí)行任意代碼。” 已登錄超級用戶或高權(quán)限程序，將可在AMT套件之內(nèi)執(zhí)行代碼，且整個執(zhí)行流程較操作系統(tǒng)及任何其它軟件更為底層。
CVE-2017-5709:“英特爾服務(wù)器平臺服務(wù)固件4.0版本內(nèi)核當(dāng)中存在多項(xiàng)緩沖區(qū)溢出漏洞，允許未授權(quán)進(jìn)程通過未知向量訪問機(jī)密信息。”已登錄用戶或運(yùn)行中的應(yīng)用可能泄漏內(nèi)存中的機(jī)密信息。這一情況對共享系統(tǒng)而言尤為危險(xiǎn)。
英特爾可信執(zhí)行引擎3.0.x.x
CVE-2017-5707:“英特爾可信執(zhí)行引擎固件3.0版本內(nèi)核當(dāng)中存在多項(xiàng)緩沖區(qū)溢出漏洞，允許攻擊者以本地方式訪問系統(tǒng)并執(zhí)行任意代碼。” 已登錄超級用戶或高權(quán)限程序，將可在隱藏管理引擎之內(nèi)執(zhí)行代碼，且整個執(zhí)行流程較操作系統(tǒng)及任何其它軟件更為底層。
CVE-2017-5710:“英特爾可信執(zhí)行引擎固件3.0版本內(nèi)核當(dāng)中存在多項(xiàng)權(quán)限升級漏洞，允許未授權(quán)進(jìn)程通過未知向量訪問機(jī)密內(nèi)容。”已登錄用戶或運(yùn)行中的應(yīng)用可能泄漏內(nèi)存中的機(jī)密信息。這一情況對共享系統(tǒng)而言尤為危險(xiǎn)。
芯片巨頭感激Mark Ermolov（馬克·厄莫羅夫）與Maxim Goryachy（馬克西姆·格拉奇）積極發(fā)現(xiàn)并通報(bào)CVE-2017-5705安全漏洞，這亦成為進(jìn)行上述漏洞源代碼審查的契機(jī)。
相關(guān)修復(fù)建議
今天的消息無疑迫使英特爾考慮未來不再推出包含管理引擎的組件，或者提供一種能夠?qū)⑵渫耆玫姆椒?mdash;—這樣人們即可放心使用自己的計(jì)算機(jī)，而不必?fù)?dān)憂神秘的協(xié)處理器中所存在的安全漏洞。
英特爾公司建議微軟及Linux用戶下載并運(yùn)行Intel-SA-00086檢測工具，以確保其系統(tǒng)是否易受到上述錯誤的影響。
如果您身處危險(xiǎn)當(dāng)中，則必須從計(jì)算機(jī)制造商處獲取并安裝固件更新（如果可用）。新代碼由英特爾方面負(fù)責(zé)開發(fā)，但需要配合各硬件供應(yīng)商的加密簽名方可被引擎接受及安裝。
研究人員表示，蘋果x86設(shè)備應(yīng)該不會受到影響，因?yàn)槠湫酒胁⒉话⑻貭柟芾硪妗?/p>
Lenovo官方補(bǔ)丁
聯(lián)想公司的行動速度最快，目前已經(jīng)準(zhǔn)備好自己的下載補(bǔ)丁。
Lenovo補(bǔ)丁鏈接：
https://pcsupport.lenovo.com/us/zh/products/laptops-and-netbooks/thinkpad-x-series-laptops/thinkpad-x1-carbon-type-20fb-20fc/downloads/ds112240
其他OEM暫未提供補(bǔ)丁，請聯(lián)系對應(yīng)OEM獲取。
臨時(shí)緩解措施
保護(hù)本地用戶訪問權(quán)限不被他人獲取。
升級建議
升級到OEM提供的漏洞修復(fù)的版本。
