一个高风险漏洞存在于英特尔晶片近十年,并且早在几年前,就有机构提醒过该漏洞的存在,然而英特尔近日才公布,这究竟是什幺原因?恐怕只有他们自己知道。 5 月 1 日,英特尔公司公布了一个严重高风险级别安全漏洞,攻击者可以利用该漏洞进行英特尔产品系统的远程控制权。漏洞影响所有英特尔企业版伺服器和综合利用技术,涉及版本号为 6.x、7.x、8.x、9.x、10.x、11.5、以及 11.6 系列的所有韧体产品。这意味着英特尔近十年来的韧体晶片都会受到影响! 据了解,这漏洞主要存在英特尔管理引擎的主动管理、伺服器管理组件、以及英特尔小企业技术中,普通个人电脑 PC 由于没有相应模块,所以不会被远程控制提权。 英特尔发布公告后,国外科技爆料网站 Semiaccurate 发布文章表示: Semiaccurate 声称自己 5 年前就开始向英特尔公司提这个漏洞,英特尔公司 10 年来对该漏洞不屑一顾,选择现在进行公布修复,可能是的确受到一些重大影响而不得不承认的举措。 Semiaccurate 指出了漏洞的原因: ME 是一个有别于 CPU 的独立系统,它可以在不受 CPU 管控下通过搭配 AMT等技术用来远程管理企业电脑。 据了解,AMT 技术允许 IT 技术员远程管理和修复联网的电脑系统,它能够自动执行一个独立于操作系统的子系统,使得在操作系统出现故障的时候,管理员能够在远程监视和管理客户端、进行远程管理和系统检测、软硬体检查、远端更新 BIOS 和病毒码及操作系统,甚至在系统关机的时候,也可以通过网路对伺服器进行管理操作。 Semiaccurate 在其文章中特别强调了一点,暗示英特尔在晶片中故意留有后门: 而英特尔发言人则表示,该漏洞编号为 CVE-2017-5689,于 3 月底由安全研究者 Maksim Malyutin 发现并提交。目前,韧体升级修补程式正在开发中,后期修补程式的推送和分配必须由製造商加密签名和其它配合。希望与设备製造商积极合作,在接下来几周能尽快向终端用户提供韧体升级修补程式。英特尔方面目前并未发现利用该漏洞的攻击案例。 也有人指出,之所以英特尔忽略 Semiaccurate 的漏洞预警,很可能是因为 Semiaccurate 只是向英特尔强调 ME 这个架构存在「漏洞风险」,没能指出或者证明这个漏洞的存在。而直到今年 3 月底安全研究者 Maksim 提交了该漏洞,英特尔便在一个月左右公布并提出了相应解决方案。 英特尔给出了相应的应对方案,指出要修复这个漏洞必须让设备厂商更新韧体,当然用户也可以先通过一些缓解措施进行快捷处理。比如对企业级伺服器下的晶片韧体进行升级,需要升级的版本如下所示: 除了对韧体进行更新,英特尔也给出了系列处置建议:
上一篇:英特尔针对 Android 超值平板推出参考设计计画
下一篇:英特尔:GPU 已过时,Nvidia 的人工智慧之路会越来越难