Уязвимость Intel ME позволяет выполнять неподписанный код



    Исследователи Positive Technologies Марк Ермолов и Максим Горячий обнаружили серьезную уязвимость в технологии Intel ME, с помощью которой злоумышленники могут выполнять на целевой машине неподписанный код. Это приводит к полной компрометации платформы.

    В чем проблема


    Intel Management Engine — это закрытая технология, которая представляет собой интегрированный в микросхему Platform Controller Hub (PCH) микроконтроллер с набором встроенных периферийных устройств. Через PCH осуществляется почти все общение процессора с внешними устройствами, поэтому Intel ME имеет доступ практически ко всем данным на компьютере. Следовательно, возможность исполнения стороннего кода позволяет полностью скомпрометировать платформу.

    Технология Intel ME уже довольно давно интересует исследователей, однако в последнее время к ней приковано еще больше внимания. Одной из причин этого является переход данной подсистемы на новую аппаратную (x86) и программную (доработанный MINIX в качестве операционной системы) архитектуру. Применение платформы x86 позволяет использовать всю мощь средств анализа бинарного кода.

    К сожалению, столь масштабная переработка не обошлась без ошибок. При изучении новой подсистемы в Intel ME 11+ версии исследователи Positive Technologies обнаружили уязвимость, которая позволяет выполнять неподписанный код внутри PCH на любой материнской плате для процессоров семейства Skylake и выше. При этом основная система может оставаться работоспособной, таким образом пользователь может не подозревать о том, что на его компьютере функционирует шпионское ПО, устойчивое к переустановке ОС и обновлению BIOS. Возможность выполнять собственный код на ME открывает неограниченные возможности перед исследователями, так как это позволяет как минимум исследовать систему в динамике.

    Что дальше


    О том, как удалось найти и поэксплуатировать уязвимость, а также обойти встроенные механизмы защиты, эксперты Positive Technologies Марк Ермолов и Максим Горячий расскажут во время своего выступления на конференции Black Hat Europe, которая пройдет в Лондоне в период с 4 по 7 декабря.

    Ранее исследователи публиковали в нашем блоге на Хабре статью о том, как отключить Intel ME 11 с помощью недокументированного режима.
    Помимо этого, в четверг, 5 октября в 14:00 авторы исследования проведут бесплатный вебинар, на котором расскажут о внутреннем устройстве и особенностях работы Intel ME, минимизации рисков возможных ошибок в ее работе, а также подробно опишут, как им удалось обнаружить режим, отключающий основные функции этой подсистемы. Вебинар будет интересен разработчикам встраиваемых систем, системным программистам и специалистам по информационной безопасности.

    Для участия в вебинаре нужно зарегистрироваться.
    Positive Technologies 348,61
    Компания
    Поделиться публикацией

    Вакансии компании Positive Technologies

    Комментарии 12
    • –5
      Для моей организации наличие этой технологии в процессорах нового оборудования означало бы переход на AMD.

      Ни при каких условиях, как инженер по ИБ, я бы не купил процессоры с Intel ME. :) /МНЕ ХВАТАЕТ/
      • 0
        А с PSP?
        • –1
          Что я могу сказать… We're f*ck*d up :)
          • +1
            «SNAFU», подумали в Intel, довольно потирая руки…
        • +1
          ME можно отключить (причем, согласно последним исслежованиям) более-менее штатно (пусть и не официально © поддерживаемым способом, но способ был заложен инженерами именно для отключения).
          • +1
            Язык не поворачивается назвать штатным способом прошивку через программатор.
        • НЛО прилетело и опубликовало эту надпись здесь
          • 0
            PSP не лезет в сеть.
            Libreboot считает иначе.
            • НЛО прилетело и опубликовало эту надпись здесь
              • 0
                … it has at minimum MMIO-based access to the network controllers ...
          • –1
            Это просто праздник какой-то, даешь эксплоиты на Ring -3, столько потенциальных применений для малвари, весь комп в распоряжении, возможность слать OOB трафик, раньше это мог делать Интел, теперь любой желающий.
            • 0
              ну «любой» желающий скорее всего не сможет, (в предыдущих статьях рассказывается об этом), intel делал это скорее всего для «своих», но от этого не легче.

            Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

            Самое читаемое