Intel parchea las nuevas vulnerabilidades de Intel ME

A principios de julio, Intel emitió avisos de seguridad SA-00112 y SA-00118 con respecto a las soluciones para vulnerabilidades en Intel Management Engine

Ambas advertencias describen las vulnerabilidades con las que un atacante podría ejecutar código arbitrario en el microcontrolador Miniature IA PCH.

Las vulnerabilidades son similares a las descubiertas previamente por los expertos en seguridad de Positive Technologies en noviembre pasado (SA-00086). Pero ese no fue el final de la historia, ya que Intel ahora ha lanzado correcciones para vulnerabilidades adicionales en ME.

¿Que pasó?

CVE-2018-3627, la vulnerabilidad en cuestión en el aviso SA-00118, se describe como un error de lógica (no un desbordamiento de búfer) que puede permitir la ejecución de código arbitrario. La facilidad de explotación hace que esta vulnerabilidad sea más peligrosa que la de SA-00086, que era explotable localmente solo en caso de errores de configuración de OEM; en cambio, un atacante simplemente necesita acceso local.

Las cosas son aún peores con CVE-2018-3628, que se describe en el aviso SA-00112. Esta vulnerabilidad permite la ejecución remota de código completo en el proceso AMT de Management Engine. Además, todos los signos indican que, a diferencia de CVE-2017-5712 en los avisos SA-00086, los atacantes no necesitan una cuenta de administrador de AMT.

Intel caracteriza la vulnerabilidad como "Desbordamiento de búfer en controlador HTTP", lo que permite la ejecución remota de código sin autorización. Este es el mismo escenario que solía ser una pesadilla para los usuarios de Intel, y ahora se ha cumplido. Esta vulnerabilidad es similar a CVE-2017-5689, que fue detectada por Embedi en mayo de 2017, pero con peores consecuencias.

¿Ahora que?

Quizás el único consuelo es que para CVE-2018-3628, Intel dice que la explotación solo es posible desde la misma subred.

Positive Technologies planea estudiar estas vulnerabilidades más de cerca en futuras investigaciones. En particular, Intel indica las mismas versiones de firmware "resueltas" para las vulnerabilidades que para SA-00086.

En otras palabras, es posible que estas últimas vulnerabilidades se hayan encontrado durante la revisión de seguridad del código Intel ME al mismo tiempo que SA-00086, pero Intel retrasó la publicación para evitar la alarma y la interrupción que podrían haberse producido al empaquetar tal gran cantidad de vulnerabilidades críticas en SA-00086