D’importantes vulnérabilités dans les technologies d’administration d’Intel

Intel vient de reconnaître l’existence de vulnérabilités au sein de certains mécanismes critiques présents dans plusieurs familles de processeur : Management Engine (ME), dans les versions 11.0/11.5/11.6/11.7/11.10/11.20, Server Platform Services (SPS), version 4.0, et Trusted Execution Engine (TXE) version 3.0. La liste de processeurs concernés est longue : Core de 6^e à 8^e génération, Atom C500, Apollo Lake Atom E3900 et Pentium, Celeron N et J, mais aussi Xeon E3-1200 v5 et v6, Xeon Scalable et W.

Dans sa note d’information, Intel explique que ces vulnérabilités peuvent permettre à un « attaquant d’obtenir un accès non autorisé à la plateforme, à la fonctionnalité Intel ME, et aux secrets protégés par ME, SPS ou TXE ». Le fondeur propose un outil de détection ainsi que des mises à jour pour les logiciels embarqués de ses processeurs.

Ce n’est pas la première fois que ces logiciels sont affectés par des vulnérabilités. Au mois de mai, Intel a ainsi distribué des correctifs pour les machines équipées de ses processeurs Core – depuis la première génération – et destinées aux entreprises et aux professionnels, dites vPro : ils venaient combler une faille touchant les technologies d’administration AMT, ISM et SBT « qui peut permettre à un attaquant de prendre le contrôle des capacités d’administration offertes par ces produits ».  

A l’époque, le développeur Matthew Garrett relativisait, soulignant que seules les entreprises ayant explicitement activé AMT étaient menacées : « est-ce que cela veut dire que n’importe système Intel construit depuis 2008 peut être détourné par des pirates ? Non. La plupart des systèmes Intel n’ont pas AMT. Et la plupart des systèmes Intel dotés d’AMT ne l’ont pas actif ».

Mais aujourd’hui, son ton n’est pas le même. Dans un fil détaillant les vulnérabilités et les risques associés, il explique ainsi que « la compromission de ME doit pouvoir donner tout ce que donne la compromission d’AMT, et plus encore ». Et après réflexion, il estime que non, il n’y a pas de cas où ces nouvelles vulnérabilités seraient d’une quelconque façon anodines.

Mark Ermolov, chercheur en sécurité, n’est pas plus tendre. Evoquant la vulnérabilité affectant ME, il a ainsi résumé : « l’apocalypse commence ».