インテル：NUCのバカども、よく聞きなさい！ミニPCとスティック型コンピューティングに重大なセキュリティ修正が加えられました

Microsoft、Apple、Adobe、SAP による Patch Tuesday の修正に続いて、Intel は、ファームウェアとソフトウェアの一連の 7 つの CVE リストの脆弱性に対処するため、月次セキュリティ バンドルを廃止しました。

7件の中で最も深刻なのは、Intel Compute Improvement Programソフトウェアの脆弱性であるCVE-2019-11162に対するパッチです。このプログラムはオプトイン型の診断ツールで、コンピュータが稼働しているハードウェアに関する詳細な情報に加え、閲覧したサイトの種類、使用アプリケーション、コンピュータが使用されている地域といったアクティビティに関する簡略な情報を収集します。

Intelによると、このツールに含まれるドライバの1つが脆弱性の原因となっているとのことです。この脆弱性は深刻ではあるものの、少なくともネットワーク経由では悪用されることはありません。悪意のあるユーザーや既にシステム内に侵入したマルウェアによって悪用され、権限昇格によってマシンの制御を奪ったり、クラッシュさせたり、情報を漏洩させたりする可能性があります。

Chipzilla は、この欠陥の概要の中で、「バージョン 2.4.0.04733 より前の Intel Computing Improvement Program 用 SEMA ドライバーにおけるハードウェア抽象化のアクセス制御が不十分なため、認証されたユーザーがローカル アクセス経由で権限の昇格、サービス拒否、または情報漏洩を実行できる可能性があります」と述べています。

ユーザーと管理者は、ソフトウェアをバージョン2.4.0.04733以降にアップデートすることをお勧めします。この脆弱性の発見は、セキュリティ研究者のジェシー・マイケル氏によるものです。

別の診断ツールである Intel プロセッサー識別ユーティリティーは、CVE-2019-11163 のホストでした。これは、ローカルの攻撃者が情報を漏らしたり、デバイスをクラッシュさせたり、権限を昇格したりできる脆弱性です。

更新バージョンは6.1.0731です。このバグの発見者もJesse Michael氏です。

Intelのミニコンピュータやスティック型コンピュータをお使いの方は、Intel NUCファームウェアの脆弱性CVE-2019-11140のアップデートをインストールすることをお勧めします。この脆弱性は「不十分なセッション検証」に起因するもので、権限昇格や情報漏洩を許す可能性があります。これは、ボードのファームウェアに発生してほしくない事態です。

修正されたBIOSバージョンは、NUCボードの場合は0066、Compute Stickの場合は0060、Intel Compute Cardの場合は0037です。この情報は研究者Dmitry Frolov氏によるものです。

一方、Intelは、ネットワーク接続経由​​でアクセス可能な認証バイパスの脆弱性（CVE-2019-0173）の原因であるRAID Web Console 2を完全に廃止しました。管理者はRAID Web Console 3 バージョン7.009.011.000以降へのアップデートを推奨します。提供元：trotmaster99

Intel Authenticateソフトウェアは、CVE-2019-11143のパッチが適用されました。これは、ソフトウェアインストーラーにおける不適切な権限設定に起因する、ローカル権限昇格の脆弱性です。ユーザーと管理者は、バージョン3.8以降へのアップデートを推奨します。この発見は、チュニジアのセキュリティ研究者SaifAllah benMassaoud氏によるものです。

ドライバーとサポート アシスタントは、Hacker One のバグ ハンター Jakub Palaczynski と Cyber​​Ark の研究者 Eran Shimony によって発見された権限昇格バグである CVE-2019-11146 に対するパッチを適用するために 19.7.30.2 に更新されました。

Intel Remote Displays SDK に、脆弱性発見者 Marius Gabriel Mihai 氏によって発見された権限昇格の脆弱性 CVE-2019-11148 に対するパッチが適用されました。パッチ適用バージョンは 2.0.1 R2 以降です。®