9‑letnia luka w zdalnym zarządzaniu Intela groźniejsza niż zakładano?

Pod koniec zeszłego tygodnia technologię VPro. Dziś na temat wykorzystania jej przez potencjalnych atakujących wiadomo więcej, a sytuacja może być poważniejsza, niż z początku się wydawało.

A to za sprawą łatwości, z jaką można ominąć mechanizmy weryfikacji administratora. Gwoli przypomnienia: dzięki AMT można zbootować własny nośnik instalacyjny systemu operacyjnego czy przejąć kontrolę nad urządzeniami peryferyjnymi. Wszystko to całkowicie poza kontrolą systemu operacyjnego, zupełnie jakby administrator fizycznie znajdował się przed komputerem. Narzędzia dostępne są z poziomu aplikacji webowej po podaniu hasła.

Problem w tym, że metody weryfikacji zawiodły i pełnię władzy nad komputerami vPro, a zatem te, które piętrzą się w korporacyjnych wieżowcach, mogą przejąć także do tego nieuprawnieni. Pod koniec zeszłego tygodnia nie był znany na to sposób, dziś wiemy już na ten temat więcej. Ekspertyza grupy Tenable dowodzi, że sytuacja jest poważniejsza, niż pierwotnie zakładano.

Wiedzeni doświadczeniem badacze Tenable wyszli z założenia, że podatność tkwi w funkcji skrótu, jaka wysyłana jest pomiędzy przeglądarką a serwerem w celu potwierdzenia tożsamości. Już wcześniej zdarzały się przypadki, w których jedynie częściowo prawidłowa funkcja skrótu (gdy atakujący zna jej długość) pozwala na dostęp do usługi.

Tak było również w przypadku AMT. Na tym jednak nie poprzestano i doszło do kolejnych prób. W końcu jasnym stało się, że informacja zwrotna może być… całkowicie pusta lub błędna. Oficjalna łatka na podatność AMT nadal się nie ukazała, należy jej się spodziewać w tym tygodniu. Całkowicie wyłączyć Intel Managment Engine, co usunie także podatność, można po uruchomieniu skrypty ME_Cleaner.