Warnung des BSI
Kritische Bugs in Intel-Prozessoren
Forscher der britischen Security-Firma Positive Technologies haben kritische Lücken gefunden, die zahlreiche Intel-Prozessoren betreffen. Das BSI hat eine Warnung herausgegeben.
Viele Intel-Chipsets, die seit 2015 mit PCs, Notebooks, Tablets, Servern, aber auch schwer zu patchenden Embedded-Systemen ausgeliefert wurden, weisen vor allem in der Management Engine teilweise schwerwiegende Lücken auf. Nachdem die von britischen Sicherheitsforschern entdeckten Probleme bekannt wurden, hat Intel nach eigenen Angaben umfassende Sicherheitsanalysen der Intel Management Engine (ME), der Server Platform Services (SPS) und der Trusted Execution Engine (TXE) durchgeführt und dabei mehrere Sicherheitslücken in den jeweiligen Firmwares identifiziert. Das Unternehmen gab anschließend das als »kritisch« eingestufte Security Advisory SA-00086 heraus. Die Management Engine ist eine vom restlichen Computersystem unabhängige Hardwarekomponente, die meist in Form eines eigenen Mikrocontrollers vorliegt. Sie dient der Administration und Fernwartung von Computersystemen. Einige der Lücken lassen sich daher wohl auch aus der Ferne für die komplette Übernahme von Rechnern nutzen. Laut Intel gibt es bisher aber keine Hinweise darauf, dass die Sicherheitslücken von Angreifern ausgenutzt wurden.
Die Liste der betroffenen Produkte ist lang: angefangen bei den Core-i3/i5/i7-6000-Prozessoren von 2015 und der Atom-C3000-Prozessorfamilie bis zu Core-i-7000/Kaby Lake, Core i-8000/Coffee Lake und Xeon-Prozessoren. Lang ist auch die Liste der Hersteller, die diese verbaut haben, etwa Acer, Asus, Cisco, Dell, Fujitsu, HPE und Lenovo, die auch für die Bereitstellung der Updates und Patches verantwortlich sind. Lenovo und Fujitsu haben bereits reagiert und Patches veröffentlicht. Auch HP hat auf der Webseite https://support.hp.com/us-en/document/c05843704 entsprechende Updates bereitgestellt. Bis alle betroffenen Geräte versorgt sind, dürfte noch eine Weile dauern. Viele Hersteller legen sich nicht fest, wann sie ein entsprechendes Update herausgeben.
Die Sicherheitslücken haben auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf den Plan gerufen, das eine entsprechende Warnmeldung herausgegeben hat. Es stuft darin die Lücken in »Risikostufe 4: Hoch« ein. Auch das US Department of Homeland Security hat eine Warnung veröffentlicht. Für die Betriebssysteme Linux und Windows stellt Intel unter der Adresse https://downloadcenter.intel.com/download/27150 das Intel-SA-00086 Detection Tool bereit. Es überprüft den aktuellen Prozessor und zeigt an, ob die entsprechenden Sicherheitslücken vorhanden sind und somit Handlungsbedarf entsteht. Das Tool stellt zwar fest, ob es Probleme gibt, kann diese aber nicht beheben.
Lesen Sie mehr zum Thema
