英特尔有个高风险漏洞，存在近十年都没修补
发布日期 2017 年 05 月 04 日 17:52
一个高危漏洞存在于英特尔芯片近十年，并且早在几年前，就有机构提醒过
该漏洞的存在，然而英特尔近日才公布，这究竟是什么原因导致？恐怕只有
他们自己知道。
5 月 1 日，英特尔（Intel）公司公布了一个严重高风险（Critical）等级
安全漏洞，攻击者可以利用该漏洞进行英特尔产品系统的远程控制提权。漏
洞影响所有英特尔企业版服务器和综合利用技术，涉及版本号为 6.x、
7.x、8.x、9.x、10.x、11.5 以及 11.6 系列的所有韧体产品。这意味着英
特尔近十年来的韧体芯片都会受到影响！
据了解，该漏洞主要在英特尔管理引擎（ME ）的主动管理（AMT）、服务器
管理组件（ISM）以及英特尔小企业技术（SBT）中，普通个人电脑 PC 由于
没有相应模组，所以不会被远程控制提权。
“我们向英特尔反映了多年！”
英特尔发布公告后，国外科技曝料网站 Semiaccurate 发布文章表示：
我们近年来一直恳求英特尔公司尽快修复该漏洞，然而他们现在才后知后
觉。
Semiaccurate 声称自己 5 年前就开始向英特尔公司提交这个漏洞，英特尔
公司 10 年来对该漏洞不屑一顾，选择现在公布修复，可能是的确受到一些
重大影响而不得不承认的举措。
Semiaccurate 指出了漏洞的原因：
Intel 芯片中有一个独立于 CPU 和操作系统的微处理器，叫做英特尔管理
引擎 Intel Management Engine，简称 ME。多种技术都利用 ME，包括代码
处理、媒体 DRM、可信平台模组 TPM 等。
ME 是一个有别于 CPU 的独立系统，它可以在不受 CPU 管控下透过搭配
AMT（英特尔主动管理技术）等技术用来远程管理企业电脑。
据了解，AMT 技术允许 IT 技术员远程管理和修复联网的电脑系统，它能够
自动执行一个独立于操作系统的子系统，使得在操作系统出现故障的时候，
管理员能够在远程监视和管理客户端、进行远程管理和系统检测、软硬件检
查、远端更新 BIOS 和病毒码及操作系统，甚至在系统关机的时候，也可以
经由网络对服务器进行管理操作。
Semiaccurate 在其文章中特别强调了一点，暗示英特尔在芯片中故意留有
后门：
尽管英特尔对 ME 有着很多官方说明，但 ME 技术架构一直是英特尔不愿谈
及的话题，因为没人真正知晓该技术的真正目的，以及是否可以做到完全禁
用等。
而英特尔发言人则表示，该漏洞编号为 CVE-2017-5689，于 3 月底由安全
研究者 Maksim Malyutin 发现并提交。目前，韧体升级修补程式正在开发
中，后期修补程式的推送和分配必须由制造商加密签名和其他配合。希望与
设备制造商积极合作，在接下来几周能尽快向用户提供韧体升级修补程式。
英特尔方面目前并未发现利用该漏洞的攻击案例。
也有人指出，之所以英特尔忽略 Semiaccurate 的漏洞预警，很可能是因为
Semiaccurate 只是向英特尔强调 ME 这个架构存在“漏洞风险”，没能指
出或者证明这个漏洞的存在。而直到今年 3 月底资安研究者 Maksim 提交
了该漏洞，英特尔便在一个月左右公布并提出了相应解决方案。
应对措施
英特尔给出了相应的应对方案，指出要修复这个漏洞必须让装置厂商更新韧
体，当然用户也可以先透过一些缓解措施进行快捷处理。比如对企业级伺服
器下的芯片韧体进行升级，需要升级的版本如下所示：
第一代 Core family: 6.2.61.3535
第二代 Core family: 7.1.91.3272
第三代 Core family: 8.1.71.3608
第四代 Core family: 9.1.41.3024 and 9.5.61.3012
第五代 Core family: 10.0.55.3000
第六代 Core family: 11.0.25.3001
第七代 Core family: 11.6.27.3264
除了对韧体进行更新，英特尔也建议该系列如何处置：
检测你的系统中是否配置有 Intel AMT、SBA 或 ISM 技术架构。
如果系统中配置有 Intel AMT、SBA 或 ISM 技术架构，检测你的系统韧体
是否受到影响。
及时与系统 OEM 厂商对更新韧体进行核实，更新韧体一般为四部分数位的
版本号，如 XXXX.3XXX。
如果OEM 厂商还未发布更新韧体，请及时对系统进行缓解操作。
http://technews.tw/2017/05/04/intel-security-problem/
楼下大湿