Sicherheitslücke in Intel-Firmware offenbar leicht ausnutzbar

In einem jetzt bereitgestellten Whitepaper (PDFPDF) beschreibt der Sicherheitsanbieter Embedi Details der von ihm entdeckten Schwachstelle in Firmware von Intel. Angreifer können sie demnach leicht ausnutzen, um die Kontrolle über PCs zu übernehmen, die mit Prozessoren arbeiten, die Intel vPro unterstützen. Das ist in erster Linie im Business-Umfeld der Fall. Die Sicherheitslücke kann da offenbar sogar per Browser und ohne Eingabe eines Passworts ausgenutzt werden.

Den Autoren zufolge wurde die Beschreibung des Fehlers jetzt nach Abstimmung mit Intel veröffentlicht. Intel erklärt in einer Stellungnahme, dass seit 4. Mai ein Tool erhältlich ist, mit dem Nutzer ihre Systeme überprüfen können. Computerhersteller sollen diese Woche beginnen, Firmware-Updates für ihre Produkte bereitzustellen. Unter anderem haben das in Advisories bereits Dell, Fujitsu, HP und Lenovo angekündigt.

Mit den Updates soll dann der Fehler behoben werden, durch den sich von Intel für Administratoren gedachte Funktionen bei dessen Active Management Technology (AMT), Standard Manageability (ISM) und Small Business Technology (SBT) missbrauchen lassen. Beispielsweise gewährt AMT dem Administrator direkten Zugriff auf jeden einzelnen Rechner. Damit sollen sich etwa Software-Updates einfacher installieren oder Festplatten löschen lassen. AMT erlaubt es sogar, per Browser auf PCs im Ruhezustand zuzugreifen.

Die normalerweise dafür erforderliche Eingabe eines vom Administrator festgelegten Passwords lässt sich allerdings umgehen. Es genügt dazu offenbar, dass Eingabefeld leer zu lassen. Die Anmeldung wird dann trotzdem erfolgreich abgeschlossen. Sicherheitsforscher des Anbieters Tenable haben das am Freitag bestätigt. Ihnen zufolge ist es möglich, sich beim AMT-Web-Interface mit dem Benutzernamen “admin” und einem beliebigen Passwort anzumelden.

Intel stuft Desktops, Laptops und Server aus den Jahren 2010 bis 2017 mit den Firmware-Versionen 6.x bis 11.6 als anfällig ein. Embedi geht dagegen davon aus, dass alle Rechner angreifbar sind, die AMT unterstützen, mit dem Internet verbunden sind und bei denen die Ports 16992 und 16993 offen sind. Kriminelle versuchen die Schwachstelle offenbar schon seit 1. Mai auszunutzen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.