本周三，在“黑帽歐洲”組織所做的一次陳述中，其技術安全研究員Mark Ermolov和Maxim Goryachy 詳細闡述他們在英特爾管理引擎里發現的固件缺陷，同時他們也發出警告稱，對易損性方面的缺陷，目前提供的補丁也許還不夠可靠。
實際上，早在兩個星期前，這兩位研究員曾收到來自英特爾公司的感謝，因為他們很負責任地找出了系統漏洞。與此同時， Chipzilla 公司也發布了10 份易損性風險通告，警示相關漏洞可能會影響到管理引擎，伺服平臺服務以及可信執行引擎的運行。
英特爾管理引擎位于平臺控制中心，是一個協處理器，可以通過一系列芯片集成來給企業vPro管理功能提供動力。該引擎配備了專屬的MINIX3操作系統（一個類似Unix的操作系統），能夠在設備主操作系統內核之下的一個級別中運行。
英特爾管理引擎是設計出來用來監控用戶電腦的，也是通向主CPU里大多數處理程序和數據的入口。對于企業系統管理員來說，這個引擎對于管理PC群是非常有用的，但是對于那些黑客來說，該引擎也同樣具有吸引力。
英特爾的這個漏洞可能會讓黑客在受影響的硬件上運行任意代碼，這些代碼對于用戶或主操作系統來說是不可兼得。由于擔心這種攻擊，Chipzilla執行了一個“關閉開關”，以符合美國國家安全局指定的IT安全標準HAP。
但是在今年初，這個“開關”被發現了，Ermolov和Goryachy認為，它其實并不能夠防范10個被披露的漏洞中的3個漏洞，分別是：CVE-2017-5705、CVE-2017-5706、以及CVE-2017-5707。兩人還表示，他們發現了一個可在本地被利用的堆棧緩沖區溢出，允許在任何帶有英特爾管理引擎的設備上執行未簽名的代碼——即便該設備處于關機狀態，或是處于被安全軟件保護的狀態。此外，Ermolov和Goryachy還生產已經采用了一個通用技術來繞過堆棧金絲雀（一個寫入內存的值），通過檢測變化來捕獲溢出，這樣就能允許他們使用返回導向編程（ROP）來運行可執行代碼了。
盡管這些漏洞需要本地訪問受影響的機器，或是通過遠程IT管理系統訪問機器憑證才能入侵系統，但是正如英特爾在今年五月份披露出的主動管理技術（AMT）漏洞，雖然當時也說只能通過本地訪問才會有影響，但最后被證實該漏洞也有可能導致遠程攻擊。
Ermolov和Goryachy在此前給The Register發送的一封電子郵件聲明中表示：
“鑒于英特爾芯片大規模滲透設備，潛在的攻擊規模是非常大的，包括筆記本電腦和企業IT基礎設施，所有這一切都十分脆弱。”
“這個問題很難解決——需要制造商升級固件，而且黑客在利用這些漏洞的時候，用戶也很難發現。”
Dino Dai Zovi是安全公司Capsule8的聯合創始人兼首席科技官，在一封寫給The Register的電子郵件中，他認為Ermolov和Goryachy的研究發現中，最令人不安的地方就是該漏洞可能被黑客輕松利用，甚至都不需要打開目標系統的電腦機箱。Dino Dai Zovi說道：
“對于那些想要物理訪問設備的黑客來說，這并不是個太大的障礙，就算一些筆記本電腦具備防篡改開關，黑客也可以輕松繞過這種保護。”
雷鋒網了解到，雖然Ermolov和Goryachy兩人針對CVE-2017-5705、CVE-2017-5706和CVE-2017-5707相關的漏洞硬件發布了補丁，但是還是無法排除完全不會被黑客攻擊的可能性，因為攻擊者可以覆蓋管理引擎區域固件，然后在新版本上重寫程序。
Dai Zovi說道：
“編寫一個管理引擎固件舊版本，通常需要直接寫進閃存芯片，或是利用脆弱的BIOS保護，這些其實都取決于廠商的特定配置。”
美國政府對于英特爾管理引擎漏洞也表達了密切關注，而且已經把問題提交給了有關部門。硬件制造商戴爾公司，Purism和System76現在已經停止供應搭載英特爾管理引擎的設備了。
Dai Zovi指出，除了這些硬件供應商在嘗試解決問題之外，一些安全技術社區也在嘗試開發一些開源代碼項目，解決對英特爾管理引擎不信任的問題，比如me_cleaner和Heads。
當被問到英特爾公司是否有計劃改變其管理引擎的工作方式，或是提供沒有管理引擎的芯片時，該公司一位發言人建議可以向硬件供應商來咨詢相關問題。該發言人表示：
“管理引擎提供了用戶最關心的的一些重要功能，比如安全引導、雙重身份驗證、系統恢復、以及企業設備管理等。”
“具有特殊要求的系統所有者，應該聯系設備制造商詢問相關請求，但是如果去掉管理引擎芯片，勢必會影響大多數主流產品所提供的功能，因此英特爾不支持這樣去配置。”
京公網安備 11010502049343號