Intel Management Engine anfällig für Rechteausweitung

Für Privatanwender weniger bedrohlich, für Firmennetze unter Umständen schon: Angreifbar über das Netzwerk sind viele Intel Systeme ab Baujahr 2010, sofern Active Management Technology, kurz AMT, oder Intel Standard Manageability, kurz ISM, provisioniert und aktiviert sind. Bei Small Business Advantage, kurz SBA, ist die Lücke nur lokal ausnutzbar.

Betoffen sind die Intel ME Firmware Versionen 6.x, 7.x, 8.x, 9.x, 10.x, 11.0, 11.5, und 11.6 von Bürorechnern die mit vPro beworben werden und auf Chipsätzen wie Q57, Q67, Q77, Q87, Q170 und Q270, bzw. Q65, B65, Q75, B75, Q85, B85, Q150, B150, Q250 und B250 aufbauen.

Empfohlen wird ein Management Engine Firmware Update mit einer Buildnummer, deren vierstelliger Schlussblock größer als 3000 ist, zu installieren, oder wenn es keine entsprechenden Updates gibt, Intel AMT und den LMS Dienst zu deaktivieren. Eine entsprechende Anleitung ist als INTEL-SA-00075 Mitigation Guide zu finden.


Intel Detection Guide & Discovery Tool

OEM Statements:
DELL
HP
Lenovo
Fujitsu
Intel NUC Intel Mainboards Intel Compute Sticks

1. Die Intel-Anleitung ist für A und F.

2. Deaktivieren? Leider nicht immer möglich...

3. Updates? Bei teilweise 7 Jahre alten Systemen? Wollt ihr mich ********en?

Jetzt wäre es natürlich toll, wenn die Intel-Webseite den (gefixten) Chipsatz-Driver wunderschön zum Download anbieten würde. Leider muss man dafür allein schon Experte sein, weil man findet irgendwelche alten, grauslichen Versionen, aber sicher nicht das, was man wirklich braucht. Und wenn man den Driver findet, dann weiß man nicht einmal, ob das wirklich die neueste Version für den eigenen Chipsatz ist. Wer jetzt hilflos das relativ neue Update-Tool herunterlädt, wir sich wundern, weil das funktioniert scheinbar nur für Grafikkarten-Driver.

Für die Behebung braucht es jedenfalls ein Intel ME Firmware Update und weniger einen neuen Treiber, bei den großen OEMs ist das oft Teil des BIOS-Updates.
Aus Erfahrung kann ich berichten, dass provisionierte AMT Rechner gerne Fehler beim Update schmeißen und diese sich nur durch unprovisioning, Firmware update und Neuprovisionierung lösen lassen.

Ich Frage mich wer sich den Aufwand antun wird und wie viele Rechner zukünftig eine ungefixte privilege esacalation aufweisen werden. Wenn ich Zyniker wäre würde ich sagen, auch eine Möglichkeit die Firmen zum Workstation Neukauf zu bewegen.

Die Verbindung aus Intel Chipsatz, CPU und Netzwerkkarte bildet ja die Grundlage einer vPro fähigen Plattform. Wo genau die Schwachstellen zu suchen sind weiß ich nicht, mein Eindruck ist, dass die Netzwerkkarte eine erhebliche Rolle dabei spielt.

Den LMS Dienst unter Windows zu deaktivieren, verhindert das Ausnutzen dieser bekannt gewordenen Lücke laut Medienberichten auch.

Das ginge z.B. so:

LMS Status abfragen

Code:

sc qc LMS

Wenn aktiv, LMS Autostart deaktivieren und stoppen:

Code:

sc config LMS start= disabled
sc stop LMS

Update: Links zu OEM Statements und Intel Discovery Tool hinzugefügt.

Bilde mir ein, dass es immer geheißen hat geht nicht, hm.
Für den Großteil der Benutzer aber garantiert nichts was abgeht.

Außerdem kann der "me_cleaner" das HAP-Flag (High Assurance Platform) setzen.

Ein bisschen Vorsprung hinsichtlich Laptops mit "deaktivierter" Management Engine hat übrigens Purism:
https://puri.sm/