Уязвимости Intel: найти и обезвредить

Риски

Уязвимости могут быть использованы для обхода любых функций безопасности ОС, запуска произвольного кода или выведения систем из строя. Они делятся на 2 группы: влияющие на работу непосредственно Intel ME и Intel Active Management Technology (AMT). Эти компоненты, в том числе, отвечают за удаленное управление компьютером, могут быть использованы для перехвата изображения экрана и взаимодействия с устройствами ввода, позволяют отключать Secure Boot и совершать большое число других опасных операций.

По информации на данный момент, большая часть уязвимостей может быть проэксплуатирована только локально. По информации Intel, возможна удаленная эксплуатация по сети, если у хоста доступен management-интерфейс. Сейчас основными векторами атак могут быть использование уязвимостей Intel ME в связке с другими уязвимостями для повышения прав на системе или в атаках с использованием социальной инженерии.

На данный момент нет информации о готовых эксплоитах или вредоносном ПО, успешно эксплуатирующем эти уязвимости. Это дает компаниям некоторый запас времени на установку обновлений до того, как злоумышленники успеют воспользоваться этими критическими уязвимостями.

Решение

После публикации Intel информации об уязвимостях производители оборудования начали выпускать патчи безопасности (первой была компания Lenovo). Однако из-за огромного числа производителей крайне затруднительно спрогнозировать, когда будут выпущены патчи для всех систем. В большинстве случаев автоматическое обновление систем не будет произведено — это задача администраторов.

Что делать сейчас?

Необходимо незамедлительно произвести инвентаризацию уязвимых систем, чтобы иметь возможность понять масштаб проблемы и сформировать план по устранению уязвимостей. Компания Intel выпустила набор утилит, позволяющих определить уязвимые системы.

Для Windows-систем Intel выпустила утилиту с графическим интерфейсом для локальной проверки и консольную утилиту, результат работы которой пишется в файл и в реестр.

Для массовой проверки windows-машин в корпоративной среде мы подготовили инструкцию и скрипты, упрощающие сбор данных.

Инструкция

Существует множество способов запуска утилиты в корпоративной среде. Мы предлагаем следующий: утилита располагается в общей папке, откуда она вызывается скриптом, помещенным в startup script всех рабочих станций компании (разумеется, вы можете использовать любой другой способ запуска скрипта на машинах сети). Вывод утилиты пишется в эту же папку. Утилита сохраняет данные по каждой машине в отдельные файлы. Для вашего удобства мы подготовили скрипт, собирающий данные в 1 csv-файл, который легко просматривать и редактировать через Excel.

1. Необходимо разместить каталог с консольной версией утилиты (Intel-SA-00086-console.exe) на файловом сервере. Туда же поместить два bat-файла — script-check.bat и script-merge.bat (скачать архив со скриптами).

2. Сделать каталог с утилитой доступным по сети, выполнить настройку прав доступа:

Сетевой доступ — группе «Все» предоставить полный доступ.

ACL — группе «Доменные пользователи» — права на изменение.

3. Отредактировать содержимое скриптов: в переменной «PATH» заменить значение “computernamesharename” на сетевой путь к папке с утилитой.

4. Создать объект групповой политики, настроив в нем параметр startup script, указав для исполнения скрипт script-check.bat.

После выполнения перечисленных действий, по мере выполнения startup script, в папке с утилитой будут появляться текстовые и XML-файлы, формируемые самой утилитой, а также CSV-файлы, формируемые скриптом script-check.bat.

В CSV-файлах содержится информация о дате и времени выполнения проверки, hostname компьютера, результат выполнения проверки и Return Code. CSV-файл формируется каждый раз при выполнении скрипта script-check.bat.

Важно! При проведениях тестов утилиты от Intel мы обнаружили, что она некорректно исполняется на виртуальных машинах VMware. Запуск утилиты приводит к полному исчерпанию памяти на машине. Запуск утилиты на виртуальных машинах не имеет смысла, но может произойти по ошибке.

В скрипте script-check.bat содержится проверка, является ли проверяемый компьютер виртуальной машиной в среде виртуализации VMware. Крайне не рекомендуется запускать утилиту на любых виртуальных машинах.

Для сведения информации о проверках в один файл необходимо запустить скрипт script-merge.bat с правами администратора. Результатом выполнения скрипта будет CSV-файл с именем “combined.csv”, в котором будет содержаться информация из всех созданных ранее CSV-файлов.

После появления новых результатов проверок для актуализации информации в файле “combined.csv” необходимо запустить скрипт script-merge.bat повторно.

Описания уязвимостей

• CVE-2017-5705
• CVE-2017-5706
• CVE-2017-5707
• CVE-2017-5708
• CVE-2017-5709
• CVE-2017-5710
• CVE-2017-5711
• CVE-2017-5712

Полезные материалы

• Описание от Intel и ссылки на сайты производителей железа, выпустивших обновления (постоянно обновляется): https://www.intel.com/content/www/us/en/support/articles/000025619/software.html

• Хорошее описание проблемы от Rapid7: https://blog.rapid7.com/2017/11/21/intel-sa-00086-security-bulletin-for-intel-management-engine-me-and-advanced-management-technology-amt-vulnerabilities-what-you-need-to-know/

• Статья от Positive Technologies: https://habrahabr.ru/company/pt/blog/343052/