Firmware-Bug: Codeausführung in deaktivierter Intel-ME möglich

Sicherheitsforscher demonstrieren einen Angriff auf Intels ME zum Ausführen von beliebigem Code, gegen den weder das sogenannte Kill-Bit noch die von Google geplanten Sicherheitsmaßnahmen für seine Server helfen. Theoretisch lassen sich Geräte so auch aus der Ferne angreifen.

Artikel von Kristian Kißling/Linux Magazin und veröffentlicht am
Intels ME läuft auf dem Chipsatz aktueller Intel-Platformen wie hier in einem Razor-Laptop.
Intels ME läuft auf dem Chipsatz aktueller Intel-Platformen wie hier in einem Razor-Laptop. (Bild: Martin Wolf/Golem.de)

Auf der diesjährigen IT-Sicherheitskonferenz Black Hat Europe liefern die beiden Russen Mark Ermolov und Maxim Goryachy von Positive Technologies einen sehr unterhaltsamen Vortrag. Überstürzt von Folie zu Folie eilend (PDF), präsentierten sie die Ergebnisse ihrer jahrelangen Forschungen an Intels Management Engine (ME). Wie bereits vor Monaten von den Forschern angekündigt, können sie auf der Version 11 der ME über einen lokalen Exploit beliebigen unsignierten Code ausführen. Die Forscher zeigten in einem Demovideo, wie sie damit einen Rechner komplett übernehmen können.

Inhalt:
  1. Firmware-Bug: Codeausführung in deaktivierter Intel-ME möglich
  2. Komplizierter lokaler Angriff

Dazu nutzten sie eine Sicherheitslücke in einem Modul namens Bup aus, das in der Intel ME läuft und das ein Fehler im Code anfällig für einen Stack Buffer Overflow macht. Ausführbaren Code erzeugten die Hacker dann über eine spezielle Technik namens ROP (Return Oriented Programming).

ME deaktivieren hilft nicht gegen Angriff

Der Name Bup steht vermutlich für Bring-Up oder Boot-Up und ist keine jener Laufzeitkomponenten, die Google in seinem Nerf genannten Projekt entfernen oder deaktivieren kann. Darauf wies der Google-Angestellte und Coreboot-Gründer Ronald Minnich in einem Vortrag auf dem Open Source Summit in Prag hin. Das Bup-Modul ist zwingend für den Start des Systems notwendig.

Deshalb hilft gegen diese Lücke auch das Deaktivieren der ME über das sogenannte Killbit nicht, welches ebenfalls von Positive Technologies entdeckt worden ist und nun von den Linux-Hardware-Herstellern Purism und System 76 genutzt werden soll. Das schreibt die Sicherheitsforscherin und Gründerin des Qubes-Projekts Joanna Rutkowska auf Twitter.

Stellenmarkt
  1. Sachgebietsleiterin (m/w/d)
    Stadt Köln, Köln
  2. Digital Transformation Manager (m/w/d)
    OEDIV KG, Bielefeld
Detailsuche

Einige weitere Hersteller, darunter Dell, vertreiben ebenso Geräte mit deaktivierter ME, die jenes Kill-Bit verwenden. Laut den Forschern von Positive Technologies wird dieses Bit für das Programm High Assurance Platform (HAP) der US-Regierung genutzt und soll damit wohl kritische Bereiche und Nutzer schützen. Doch Bup wird einfach so früh geladen, dass das HAP-Bit hier keine Hilfe bietet.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Komplizierter lokaler Angriff 
  1. 1
  2. 2
  3.  


Izmir Übel 08. Dez 2017

Volle Zustimmung.

Izmir Übel 08. Dez 2017

...ist mein einziger privater Rechner am Netz ein alter P4 mit OpenBSD. Bei Betrachtung...

Anonymer Nutzer 08. Dez 2017

Nach dem vermurksten Zufallszahlengenerator, der die AES Verschlüsselung um Faktor 4...

Anonymer Nutzer 08. Dez 2017

und der letzte Hinterhof-Hacker-Depp ist mittlerweile auch sicher schon wach. Danke Intel!



Aktuell auf der Startseite von Golem.de
US-Streaming
Abonnenten immer unzufriedener mit Netflix

Wenn Netflix-Abonnenten das Abo kündigen, wird vor allem der hohe Preis sowie ein schlechtes Preis-Leistungs-Verhältnis als Grund dafür genannt.

US-Streaming: Abonnenten immer unzufriedener mit Netflix
Artikel
  1. Elektro-SUV: Drako Dragon soll Teslas Model X Plaid deutlich übertreffen
    Elektro-SUV
    Drako Dragon soll Teslas Model X Plaid deutlich übertreffen

    Das Elektroauto Drako Dragon soll mit seinen vier Motoren eine Leistung von 1.470 kW entwickeln und 320 km/h Spitze fahren.

  2. Evari 856: Minimalistisches E-Bike mit Monocoque-Rahmen und Titan
    Evari 856
    Minimalistisches E-Bike mit Monocoque-Rahmen und Titan

    Evari 856 heißt das E-Bike, das mit einem Monocoque-Rahmen aus Carbon ausgestattet ist. Dadurch soll es besonders leicht und stabil sein.

  3. Machine Learning: Die eigene Stimme als TTS-Modell
    Machine Learning
    Die eigene Stimme als TTS-Modell

    Mit Machine Learning kann man ein lokal lauffähiges und hochwertiges TTS-Modell der eigenen Stimme herstellen. Dauert das lange? Ja. Braucht man das? Nein. Ist das absolut nerdig? Definitv!
    Eine Anleitung von Thorsten Müller

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MSI RTX 3080 Ti Ventus 3X 12G OC 1.049€ • Alternate (u. a. Corsair Vengeance LPX 32 GB DDR4-3600 106,89€) • be quiet! Pure Rock 2 26,99€ • SanDisk microSDXC 400 GB 29€ • The Quarry + PS5-Controller 99,99€ • Samsung Galaxy Watch 3 119€ • Top-PC mit Ryzen 7 & RTX 3070 Ti 1.700€ [Werbung]
    •  /