7, декабрь 2017  — 

Эксперты Positive Technologies рассказали на конференции в Лондоне, чем опасна найденная ими уязвимость и почему от нее практически невозможно защититься

Исследователи Positive Technologies Марк Ермолов и Максим Горячий на конференции Black Hat Europe рассказали об уязвимости в Intel Management Engine 11, которая открывает злоумышленникам доступ к большей части данных и процессов на устройстве. Локально эксплуатируемое « переполнение буфера » дает злоумышленнику возможность запускать неподписанный код на любом компьютере, на котором широко используются чипы Intel, произведенные после 2015 года. Подробная информация об уязвимостях чипсетов представлена в обзоре Центра безопасности Intel от 20 ноября . Эти чипсеты используются во всем мире: от домашних и рабочих ноутбуков до корпоративных серверов.

Уязвимость затрагивает Intel Management Engine — подсистему, которая с 2015 года встраивается в большинство чипов Intel для обеспечения эффективной работы системы. Intel ME функционирует во время запуска компьютера, его работы и режима сна, обеспечивая практически всю коммуникацию между процессором и внешними устройствами. Таким образом, она располагает доступом почти ко всем данным на устройстве.

Исследователи Positive Technologies обнаружили уязвимость в критически важном модуле Intel ME, эксплуатируя которую злоумышленник может обойти криптографическую и аппаратную защиту. Переполнение буфера в стеке, которое возникает, когда программе приходится записывать объем данным больше допустимого, приводит к риску внедрения зловредного кода. Исследователи нашли способ обойти защиту от переполнения стекового буфера и смогли запустить произвольный код, используя технику Return Oriented Programming.

После получения таким образом доступа к системе у потенциального злоумышленника появляются безграничные возможности: он может проникнуть вглубь компьютера за пределы операционной системы, контролировать все процессы и получить доступ к большей части данных. Такой уровень доступа означает также, что любой эксплуатирующий эту уязвимость злоумышленник, обойдя традиционную защиту на основе ПО, сможет проводить атаки даже при выключенном компьютере. Для эксплуатации этой уязвимости атакующему необходим либо физический доступ к устройству, либо учетные данные пользователя для удаленного управления системой.

Максим Горячий и Марк Ермолов из Positive Technologies отмечают: « Ввиду повсеместного распространения устройств на основе процессоров Intel потенциальные атаки могут получить широкий размах: будет уязвимо многое — от ноутбуков до корпоративной IT-инфраструктуры. Решить такую проблему непросто: производителю понадобится обновить прошивку, да и выявить злоумышленников, эксплуатирующих такую уязвимость, будет сложно. С учетом возможных осложнений мы тесно сотрудничали с компанией Intel, чтобы обеспечить ответственное раскрытие информации, давая компании время подыскать наиболее приемлемые технические решения проблемы и пообщаться с партнерами. Благодарим Intel за сотрудничество ».

В то же время исследователи обнаружили, что выпущенное Intel обновление не исключает возможность эксплуатации уязвимостей CVE-2017-5705, CVE-2017-5706, CVE-2017-5707. Так как при наличии у атакующего доступа на запись к ME-региону, он всегда может записать уязвимую версию МЕ и проэксплуатировать уязвимость в ней.

Более подробная информация о технических аспектах выступления на конференции Black Hat Europe доступна на сайте конференции .

Positive Technologies — один из лидеров европейского рынка систем анализа защищенности и соответствия стандартам, а также защиты веб-приложений. Организации во многих странах мира используют решения Positive Technologies для оценки уровня безопасности своих сетей и приложений, для выполнения требований регулирующих организаций и блокирования атак в режиме реального времени. Благодаря многолетним исследованиям специалисты Positive Technologies заслужили репутацию экспертов международного уровня в вопросах защиты SCADA- и ERP-систем, крупнейших банков и телеком-операторов. Подробнее — на ptsecurity.com , facebook.com/PositiveTechnologies , facebook.com/PHDays ,