Исследователи Positive Technologies Марк Ермолов и Максим Горячий на конференции Black Hat Europe рассказали об уязвимости в Intel Management Engine 11, которая открывает злоумышленникам доступ к большей части данных и процессов на устройстве. Локально эксплуатируемое «переполнение буфера» дает злоумышленнику возможность запускать неподписанный код на любом компьютере, на котором широко используются чипы Intel, произведенные после 2015 года. Эти чипсеты используются во всем мире: от домашних и рабочих ноутбуков до корпоративных серверов.
Уязвимость затрагивает Intel Management Engine — подсистему, которая с 2015 года встраивается в большинство чипов Intel для обеспечения эффективной работы системы. Intel ME функционирует во время запуска компьютера, его работы и режима сна, обеспечивая практически всю коммуникацию между процессором и внешними устройствами. Таким образом, она располагает доступом почти ко всем данным на устройстве.
Исследователи Positive Technologies обнаружили уязвимость в критически важном модуле Intel ME, эксплуатируя которую злоумышленник может обойти криптографическую и аппаратную защиту. Переполнение буфера в стеке, которое возникает, когда программе приходится записывать объем данным больше допустимого, приводит к риску внедрения зловредного кода. Исследователи нашли способ обойти защиту от переполнения стекового буфера и смогли запустить произвольный код, используя технику Return Oriented Programming.
После получения таким образом доступа к системе у потенциального злоумышленника появляются безграничные возможности: он может проникнуть вглубь компьютера за пределы операционной системы, контролировать все процессы и получить доступ к большей части данных. Такой уровень доступа означает также, что любой эксплуатирующий эту уязвимость злоумышленник, обойдя традиционную защиту на основе ПО, сможет проводить атаки даже при выключенном компьютере. Для эксплуатации этой уязвимости атакующему необходим либо физический доступ к устройству, либо учетные данные пользователя для удаленного управления системой.
Максим Горячий и Марк Ермолов из Positive Technologies отметили: «Ввиду повсеместного распространения устройств на основе процессоров Intel потенциальные атаки могут получить широкий размах: будет уязвимо многое — от ноутбуков до корпоративной IT-инфраструктуры. Решить такую проблему непросто: производителю понадобится обновить прошивку, да и выявить злоумышленников, эксплуатирующих такую уязвимость, будет сложно. С учетом возможных осложнений мы тесно сотрудничали с компанией Intel, чтобы обеспечить ответственное раскрытие информации, давая компании время подыскать наиболее приемлемые технические решения проблемы и пообщаться с партнерами. Благодарим Intel за сотрудничество».
В то же время исследователи обнаружили, что выпущенное Intel обновление не исключает возможность эксплуатации уязвимостей CVE-2017-5705, CVE-2017-5706, CVE-2017-5707. Так как при наличии у атакующего доступа на запись к ME-региону, он всегда может записать уязвимую версию МЕ и проэксплуатировать уязвимость в ней.
