Intel は本日、外部のセキュリティ専門家の調査結果に基づき、同社の Management Engine (ME)、Server Platform Services (SPS)、および Trusted Execution Engine (TXE) が複数の深刻なセキュリティ上の欠陥に対して脆弱であることを認めました。
ファームウェアレベルのバグにより、ログインした管理者や、悪意のある、あるいはハイジャックされた高権限プロセスが、オペレーティングシステムの下位でコードを実行し、他のユーザーや管理者の目に触れずにコンピュータをスパイしたり、操作したりすることが可能になります。また、ネットワーク管理者や管理者を装った人物がこれらの脆弱性を悪用し、スパイウェアや目に見えないルートキットをリモートからマシンに感染させる可能性もあります。
一方、ログインしたユーザー、あるいは悪意のあるアプリケーションや乗っ取られたアプリケーションは、セキュリティ上の脆弱性を悪用してコンピュータのメモリから機密情報や保護された情報を抽出し、パスワードや暗号鍵などの機密データを悪意のある人物に渡し、新たな攻撃を開始する可能性があります。これは、サーバーなどの共有マシンでは特に深刻な問題となります。
つまり、膨大な量のIntel製シリコンが、バグを抱えたコードを密かに実行しており、攻撃者やマルウェアによって悪用され、コンピューターを完全に、そして密かに侵害される可能性があります。この脆弱性の影響を受けるプロセッサチップセットは次のとおりです。
- 第6世代、第7世代、第8世代Intel Coreプロセッサー
- Intel Xeon E3-1200 v5およびv6プロセッサ
- Intel Xeon スケーラブル・プロセッサー
- Intel Xeon W プロセッサー
- Intel Atom C3000プロセッサ
- Apollo Lake Intel Atom E3900シリーズ
- アポロレイク インテル ペンティアム
- Celeron NおよびJシリーズプロセッサ
本日の開示事項の中心となるIntelのマネジメント・エンジンは、コンピュータ内部に搭載されたコンピュータです。これは、ChipzillaのvPro機能スイートの中核を担う、悪名高いコプロセッサであり、様々なチップファミリーに搭載されています。Intelは「バックドア」という表現を強く否定していますが、英国に拠点を置くPositive Technologiesの研究者が標的とするメカニズムでもあります。彼らは来月、MEを悪用する新たな方法を詳細に明らかにする予定です。
マネジメントエンジンは、ほとんど文書化されていないブラックボックスです。独自のCPUとオペレーティングシステム（最近ではx86 QuarkコアとMINIX）を搭載し、マシンを完全に制御します。また、インストールされているオペレーティングシステムやハイパーバイザー、ウイルス対策ツールの影響を受けずに、それらの影響を受けずに動作します。
これは、ネットワーク管理者がサーバーまたはワークステーションにリモートまたはローカルでログインして、エラーを修正したり、OS を再インストールしたり、デスクトップを操作したりできるようにするために設計されており、ボックスがひどく壊れていて正常に起動できない場合に便利です。
MEは、この処理を行うためにクローズドソースのリモート管理ソフトウェアを実行します。このコードには、他のプログラムと同様にバグが含まれています。ただし、これらのバグによってハッカーはマシンに対して非常に大きな権限を行使できるようになります。MEは、ルートキットやその他のスパイウェアをインストールするために悪用される可能性があり、これらのスパイウェアはユーザーを密かに監視し、情報を盗み、ファイルを改ざんします。
SPSはMEをベースとしており、ネットワーク経由でIntel搭載サーバーをリモートから構成できます。TXEはIntelのハードウェア認証技術です。以前は、ME上で動作するAMTツールスイートは、空の認証文字列でバイパスされる可能性がありました。
本日、インテルはファームウェアにおけるさらなる問題を公表しました。同社は社内ソースコードの監査の結果、「影響を受けるプラットフォームを危険にさらす可能性のある複数のセキュリティ脆弱性を特定した」と発表しました。
Intelによると、これらの脆弱性により、攻撃者はME、SPS、またはTXEメカニズムを偽装し、ローカルセキュリティ機能を無効化し、「ユーザーとオペレーティングシステムの可視性外で任意のコードをロードして実行」し、影響を受けるシステムをクラッシュさせる可能性があります。これらの脆弱性の深刻度は、ほとんどの脆弱性が管理者または権限の低いユーザーによるローカルアクセスを必要とする一方で、残りの脆弱性は認証されたシステム管理者として管理機能にアクセスする必要があるという事実によって軽減されています。
Intel ME コントローラーチップには秘密のキルスイッチがある
続きを読む
しかし、Googleのセキュリティ研究者マシュー・ギャレット氏が過去1時間ほどで指摘したように、前述のAMTの欠陥は、パッチが適用されなければ、リモートからの悪用が可能になる可能性がある。
言い換えれば、AMT の脆弱性を持つサーバーやその他のシステムが、その脆弱性を解消するためのアップデートを受けていない場合、新たに公開されたこれらのセキュリティホールにより、ネットワーク上の誰でもログインして、強力な ME コプロセッサ内で悪意のあるコードを実行できる可能性があります。
「MEの脆弱性は、AMTの脆弱性がもたらすものすべてに加え、それ以上のものを奪う可能性がある」とギャレット氏はTwitterで述べた。「MEカーネルを侵害すれば、ME上のすべてが侵害される。AMTだけでなく、PTTも侵害される可能性がある。」
彼は次のように説明した。「PTTは、Intelの『ME上でソフトウェアでTPMを実行する』機能です。PTTを使用しているときに誰かがMEに侵入した場合、TPMは信頼できなくなります。これはおそらくBitLockerキーが侵害されたことを意味するだけでなく、リモート認証の認証情報もすべて失われることを意味します。」
ギャレット氏は、もしエクスプロイトによって署名されていないデータがMEにインストールされ、解釈されれば、攻撃者はMEを再起動するたびにマルウェアの再感染を効果的に引き起こすことができると述べた。もしそうなった場合、問題を解決する唯一の方法は手動でハードウェアを再フラッシュすることだろう。そうなれば、新しいハードウェアを入手する方がおそらく安価になるだろうと彼は述べた。
ありがとう、インテル。pic.twitter.com/w16IyKuCtu
— The Register (@TheRegister) 2017年11月20日
Intelによると、影響を受けるのはMEファームウェアバージョン11.0、11.5、11.6、11.7、11.10、11.20、SPSファームウェアバージョン4.0、およびTXEバージョン3.0を使用しているシステムです。CVEが割り当てられたバグは以下の通りです。
- Intel Manageability Engine ファームウェア 11.0.xx/11.5.xx/11.6.xx/11.7.xx/11.10.xx/11.20.xx
- CVE-2017-5705：「Intel Manageability Engine ファームウェア 11.0/11.5/11.6/11.7/11.10/11.20 のカーネルに複数のバッファオーバーフローの脆弱性があり、攻撃者がシステムにローカルアクセスして任意のコードを実行できる可能性があります。」ログインしたスーパーユーザーまたは高い権限を持つプログラムは、OS やその他のソフトウェアの下にある非表示の Management Engine 内でコードを実行できます。
- CVE-2017-5708：「Intel Manageability Engine ファームウェア 11.0/11.5/11.6/11.7/11.10/11.20 のカーネルには複数の権限昇格の脆弱性があり、権限のないプロセスが未指定のベクトルを介して権限コンテンツにアクセスできてしまう可能性があります。」ログイン中のユーザーや実行中のアプリがメモリから機密情報を読み出す可能性があります。これは共有システムでは非常に危険な状況です。
- CVE-2017-5711：「Intel Manageability Engine Firmware 8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20 の Active Management Technology (AMT) に複数のバッファオーバーフローの脆弱性があり、システムへのローカルアクセス権を持つ攻撃者が AMT 実行権限で任意のコードを実行できる可能性があります。」ログインしたスーパーユーザーまたは高権限プログラムは、OS やその他のソフトウェアの下位にある AMT スイート内でコードを実行できます。
- CVE-2017-5712：「Intel Manageability Engine Firmware 8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20 の Active Management Technology (AMT) におけるバッファオーバーフローにより、システムへのリモート管理者アクセスを持つ攻撃者が AMT 実行権限で任意のコードを実行できる可能性があります。」マシンへのネットワークアクセスを持ち、管理者としてログインできるユーザーは、AMT スイート内でコードを実行できます。
- Intel Manageability Engine ファームウェア 8.x/9.x/10.x
- CVE-2017-5711：「Intel Manageability Engine Firmware 8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20 の Active Management Technology (AMT) に複数のバッファオーバーフローの脆弱性があり、システムへのローカルアクセス権を持つ攻撃者が AMT 実行権限で任意のコードを実行できる可能性があります。」ログインしたスーパーユーザーまたは高権限プログラムは、OS やその他のソフトウェアの下位にある AMT スイート内でコードを実行できます。
- CVE-2017-5712：「Intel Manageability Engine Firmware 8.x/9.x/10.x/11.0/11.5/11.6/11.7/11.10/11.20 の Active Management Technology (AMT) におけるバッファオーバーフローにより、システムへのリモート管理者アクセスを持つ攻撃者が AMT 実行権限で任意のコードを実行できる可能性があります。」マシンへのネットワークアクセスを持ち、管理者としてログインできるユーザーは、AMT スイート内でコードを実行できます。
- サーバー プラットフォーム サービス 4.0.xx
- CVE-2017-5706：「Intel Server Platform Services Firmware 4.0 のカーネルに複数のバッファオーバーフローが存在するため、攻撃者がシステムにローカルアクセスして任意のコードを実行できる可能性があります。」ログインしたスーパーユーザーまたは高権限プログラムは、OS やその他のソフトウェアの下にある非表示の管理エンジン内でコードを実行できます。
- CVE-2017-5709：「Intel Server Platform Services Firmware 4.0のカーネルにおける複数の権限昇格の脆弱性により、権限のないプロセスが未指定のベクトルを介して権限コンテンツにアクセスできてしまう可能性があります。」ログイン中のユーザーや実行中のアプリがメモリから機密情報を読み出す可能性があります。これは共有システムでは非常に危険な状況です。
- インテル トラステッド エグゼキューション エンジン 3.0.xx
- CVE-2017-5707：「Intel Trusted Execution Engineファームウェア3.0のカーネルに複数のバッファオーバーフローが存在するため、攻撃者がシステムにローカルアクセスして任意のコードを実行できる可能性があります。」ログインしたスーパーユーザーまたは高権限プログラムは、OSやその他のソフトウェアの下にある非表示の管理エンジン内でコードを実行できます。
- CVE-2017-5710：「Intel Trusted Execution Engineファームウェア3.0のカーネルにおける複数の権限昇格の脆弱性により、権限のないプロセスが未指定のベクトルを介して権限コンテンツにアクセスできるようになる。」ログイン中のユーザーや実行中のアプリがメモリから機密情報を取得する可能性があります。これは共有システムでは非常に危険な状況です。
Chipzilla は、脆弱性に関する前述のソースコードの調査のきっかけとなった欠陥 CVE-2017-5705 を発見して報告してくれた Positive の Mark Ermolov 氏と Maxim Goryachy 氏に感謝の意を表した。
Intelは、MicrosoftおよびLinuxユーザーに対し、Intel-SA-00086検出ツールをダウンロードして実行し、システムが上記のバグに対して脆弱かどうかを確認することを推奨しています。リスクにさらされている場合は、コンピューターの製造元からファームウェアのアップデートが提供され次第、入手してインストールする必要があります。新しいコードはIntelによって開発されましたが、エンジンに受け入れられてインストールされるためには、個々のハードウェアベンダーによる暗号署名が必要です。
Lenovo は、自社の機器用のパッチをすぐにダウンロードできるように準備しました。
修正内容はできるだけ早くまとめさせていただきます。Apple x86マシンはIntelのMEを搭載していないため、私たちの知る限り影響を受けないと思われます。
今日のニュースは、間違いなく、Intel に対して、管理エンジンを取り除いたコンポーネントを出荷するか、それを完全に無効にする方法を提供するよう求める声を高めることになるだろう。そうすれば、人々は謎めいた隔離されたコプロセッサのセキュリティ バグを心配することなく PC を使用できるだろう。®
