Intel : la vulnérabilité des technologies d’administration qui n’en était pas une

Harry Sintonen, consultant sécurité sénior chez F-Secure, décrit une vulnérabilité « d’une simplicité presqu’effarante ». En effet, celle-ci permet de contourner plus qu’aisément des protections tels que le mot de passe BIOS ou encore Bitlocker.

C’est bien simple, « il suffit au pirate de redémarrer (ou d’allumer) l’ordinateur en question, puis d’appuyer sur CTRL-P pendant le démarrage. Il se connecte ensuite à Intel Management Engine BIOS Extension (MEBx) en utilisant le mot de passe par défaut, “admin”, puisque, la plupart du temps, cette valeur par défaut n’est pas personnalisée », explique F-Secure dans un communiqué. Cela fait, l’attaquant « modifie le mot de passe, active l’accès à distance et définit l’option d’entrée de l’utilisateur AMT sur “Aucun” ».

Une fois ces opérations réalisées, il est possible d’accéder à la machine via le même segment réseau, voire à distance via un serveur CIRA (Client Initiated Remote Access), utilisé pour l’administration centralisée de postes de travail distants.

En fait, contrairement à ce que laisse entendre la communication de F-Secure, il ne s’agit pas là d’une véritable vulnérabilité, mais plutôt d’un défaut de configuration, d’une absence de personnalisation des dispositifs d’administration à distance intégrés par Intel à ces processeurs à l’intention des entreprises.

Le fondeur a été informé du risque en juillet dernier. Aujourd’hui, il en avertit explicitement ses clients et souligne que « si le constructeur du système a suivi la recommandation d’Intel de protéger le menu MEBx avec le mot de passe BIOS du système, cette attaque physique peut être prévenue ».

Si les conséquences potentielles peuvent être sérieuses, la situation n’en est pas moins bien différente de celle du printemps dernier.

Au mois de mai 2017, Intel a ainsi distribué des correctifs pour les machines équipées de ses processeurs Core – depuis la première génération – et destinées aux entreprises et aux professionnels, dites vPro : ils venaient combler une faille touchant les technologies d’administration AMT, ISM et SBT qui pouvait « permettre à un attaquant de prendre le contrôle des capacités d’administration offertes par ces produits ». 

A l’époque, le développeur Matthew Garrett relativisait, soulignant que seules les entreprises ayant explicitement activé AMT étaient menacées : « est-ce que cela veut dire que n’importe système Intel construit depuis 2008 peut être détourné par des pirates ? Non. La plupart des systèmes Intel n’ont pas AMT. Et la plupart des systèmes Intel dotés d’AMT ne l’ont pas actif ».

Fin novembre, Intel a reconnu l’existence de vulnérabilités au sein de certains mécanismes critiques présents dans plusieurs familles de processeur : Management Engine (ME), dans les versions 11.0/11.5/11.6/11.7/11.10/11.20, Server Platform Services (SPS), version 4.0, et Trusted Execution Engine (TXE) version 3.0. La liste de processeurs concernés est longue : Core de 6e à 8e génération, Atom C500, Apollo Lake Atom E3900 et Pentium, Celeron N et J, mais aussi Xeon E3-1200 v5 et v6, Xeon Scalable et W. Particulièrement sérieuses, ces vulnérabilités peuvent permettre à un « attaquant d’obtenir un accès non autorisé à la plateforme, à la fonctionnalité Intel ME, et aux secrets protégés par ME, SPS ou TXE »